authentication - 从守护程序服务通过 Graph (MSAL.NET/Azure AD 2.0) 访问邮箱：管理员访问权限应仅限于单个邮箱

Question

当您使用 MS Graph 通过后台服务访问特定用户的邮箱时，令牌将在 90 天后过期，因为 MSGraph (MSAL.NET/Azure AD 2.0) 不会返回刷新令牌（请参阅此处）。

使用管理员同意应该可以解决此问题，但唯一的选择是访问组织的所有邮箱。这对这项任务来说是一个太大的安全风险。

有人知道这个中间立场吗？有没有办法在使用用户同意时获取刷新令牌，或者将管理员同意限制为 1 个邮箱？

这是微软应该解决的问题吗？

标签： authenticationoauth-2.0azure-active-directoryazure-ad-graph-apimsal

Answer 1

Microsoft Graph 文档提供了满足此要求的方法。

只需使用New-ApplicationAccessPolicyPowerShell cmdlet 来配置访问控制。

New-ApplicationAccessPolicy -AppId e7e4dbfc-046f-4074-9b3b-2ae8f144f59b -PolicyScopeGroupId [e-mail] -AccessRight RestrictAccess -Description "Restrict this app to members of distribution group EvenUsers."

请参阅将应用程序权限限定到特定 Exchange Online 邮箱的详细信息。