Microsoft Graph：守護程序應用程序只能訪問一位用戶的共享日歷

Question

我的場景：

• 我希望用戶能夠與守護程序應用程序共享他們的一些日歷。
• 我想要守護程序應用程序。 僅對這些共享日歷具有讀寫訪問權限。

這個想法是用戶可以簡單地通過創建一個日歷並與守護程序共享它然后取消共享它以選擇退出來“選擇加入”服務。 我想避免讓管理人員來管理權限。 我還想避免制作一些程序來管理權限。 共享部分使我的守護進程很容易找到它必須使用的日歷。

我的解決方案：

1. 使用電子郵件和日歷創建服務帳戶。 用戶與此帳戶共享他們想要的日歷。
2. 創建具有日歷和電子郵件權限的應用程序帳戶。
3. 創建具有電子郵件訪問權限的安全組並將服務帳戶添加到該組。
4. 使用New-ApplicationAccessPolicy PowerShell cmdlet將應用程序限制為只能訪問安全組。

問題是這個 cmdlet 似乎不理解共享日歷。 在支持的權限和其他資源列表中，它沒有提到共享日歷。 （我會盡快嘗試，但我懷疑它會失敗）

有沒有辦法繞過這個限制？ 這個問題似乎與應用程序的其他問題相似。 應該“充當”特定用戶，而其他答案通常是“做不到”。

新的ApplicationAccessPolicy 文檔

Mail-Enabled-Security-Group 文檔

解決方案必須使用 Java。

Answer 1

New-ApplicationAccessPolicy 旨在限制僅應用程序訪問特定郵箱。

在您的方案中，您應該能夠在服務帳戶的上下文中使用委派權限，該服務帳戶已經在它可以讀取的郵箱中受到限制。

設備代碼流應該可以工作。 或使用 KeyVault（或等效項）來存儲服務帳戶的憑據並使用 ROPC 流。