时间戳

首页 > 解决方案 > 应用程序访问策略

azure-devops - 应用程序访问策略

问题描述

如果我们将应用程序访问策略范围限定为启用了特定邮件的组并仅授予组成员访问权限，则任何用户 ID 都可以添加到组中并利用对邮箱的完全访问权限。可以添加什么级别的安全控制来防止这种情况发生？

标签： azure-devopsazure-active-directorypolicy

解决方案

使用New-ApplicationAccessPolicy cmdlet 可限制或拒绝使用 API（Outlook REST、Microsoft Graph 或 Exchange Web 服务 (EWS)）的应用程序访问特定邮箱集。这些策略是对应用程序声明的权限范围的补充。

虽然 Mail.Read 或 Calendar.Read 等基于范围的资源访问可有效​​确保应用程序只能读取邮箱中的电子邮件或事件而不能执行任何其他操作，但应用程序访问策略允许管理员实施基于列表的限制的邮箱。例如，为一个国家开发的应用程序不应访问其他国家的数据。或者，CRM 集成应用程序只能访问销售组织中的日历，而不能访问其他部门。

参考：New-ApplicationAccessPolicy (ExchangePowerShell) | 微软文档

推荐阅读