azure - Microsoft Graph 仅访问一组特定用户，而不是所有用户

Question

我们有一个分布在不同位置的大型组织，其中一些组织希望授予 Azure AD 中请求访问权限以读取和管理电子邮件数据的应用程序的权限。有没有办法只允许应用程序基于安全组或属性访问一组特定的用户？

现在应用程序可以访问“在所有邮箱中读写邮件”，这对我们的组织来说是一个很大的安全问题。

应用程序 API 权限的屏幕截图

标签： azureazure-active-directoryoffice365microsoft-graph-api

Answer 1

据我所知，microsoft graph 应用程序权限不能被限制，它是针对整个租户的。但是我们可以按照 juunas 的建议使用New-ApplicationAccessPolicy命令来将您的应用程序限制为目标邮箱。

New-ApplicationAccessPolicy -AccessRight RestrictAccess -AppId "{appID}" -PolicyScopeGroupId [e-mail] -Description "Restrict this app to members of security group EvenUsers."

要创建启用邮件的安全组，您可以登录此页面并参考本教程。将特定用户集放入安全组，然后您的应用将仅被授予访问特定用户集数据的权限。