azure - 如何限制 Azure 应用注册的 Microsoft Graph 权限？

Question

我正在努力找出如何限制 Azure 应用注册的权限以调用 Microsoft Graph API（例如发送电子邮件）。在这种情况下，电子邮件必须由应用程序在无人参与的情况下（没有用户在场）发送。

要调用 Microsoft Graph API，必须由全局应用程序管理员为整个组织授予同意。这通常要求管理员同意应用程序能够代表整个组织中的任何用户发送电子邮件！

有没有办法设置应用程序注册以便能够通过应用程序仅针对特定电子邮件地址发送电子邮件？例如，是否可以允许应用程序以[e-mail]（无人值守，没有用户）的身份发送电子邮件，但不能以组织中的任何其他用户的身份发送电子邮件？

换句话说，我们如何设置应用程序注册以仅作为特定用户（即服务帐户）通过 Microsoft Graph API 发送电子邮件，而无需授予应用程序代表整个组织中的任何用户发送电子邮件的权限？这可能吗？

标签： azureazure-active-directorymicrosoft-graph-api

Answer 1

正如@Glen Scales 评论的那样，本文档可以满足您的需求。

想要限制应用程序访问特定邮箱集的管理员可以使用 New-ApplicationAccessPolicy PowerShell cmdlet 来配置访问控制。本文介绍了配置应用程序访问策略的基本步骤。

这些步骤特定于 Exchange Online 资源，不适用于其他 Microsoft Graph 工作负载。