使用具有权限控制的 OAuth 对 EWS 应用程序进行身份验证

Question

我想要一个 windows 服务，它可以每 3 分钟从我的 O365 帐户接收未读邮件，并且根据邮件主题有不同的操作。 我选择 EWS 管理的 API 而不是 Graph 是因为将来我可能会在 Exchange Server 上使用这个程序。 我正在关注本教程使用 OAuth 验证 EWS 应用程序，我对权限控制有一些疑问，在这种情况下，我使用在没有登录用户的情况下运行的应用程序权限。 例如，作为后台服务或守护程序运行并且可以访问多个邮箱的应用程序。 现在我可以使用 applicationID、tennatID 和 Client-secret 访问我的邮箱。 但是我必须在我的tennat（域）中模拟某人，然后我才能通过邮件帐户发送邮件。 我的问题是它是否有任何权限控制可以设置此应用程序只能访问或模拟部分 Tennat 用户而不是我的 Tennat 中的所有用户？ (in Azure AD Api permission setting I only seen full_access_as_app - Allows the app to have full access via Exchange Web Services to all mailboxes without a signed-in user.) I think its not make sense if this application have permission that can impersonate ALL user在我的组织中，如果此应用程序客户端机密公开，那将是一件大事。

对不起我的英语不好。

Answer 1

您可以将应用程序访问策略用于 scope 您的应用程序，因此它只能访问它需要的邮箱。 请参阅https://docs.microsoft.com/en-gb/graph/auth-limit-mailbox-access 。