Microsoft Graph API：通过应用程序权限来限制calendar.readWrite和Audit邮箱访问的范围

Question

我们使用的是AD部署的Daemon应用程序，该应用程序具有对office 365中用户日历的完全读/写访问权限，以从Graph API获取会议通知。由于持续存在的问题以及MS对其使用的贬值，我们已经放弃了EWS。

当前似乎没有一种方法来限制Office 365日历的范围。从组织级别到组/用户的ReadWrite权限。

《财富》 500强客户担心我们的应用程序有权访问其邮箱内的所有敏感数据，并且尚未准备好为Calendar.ReadWrite权限提供管理员同意。我已经解释了所有计划中的安全措施，例如在AD中注册服务时使用证书作为应用程序标识的身份，管理员同意的要求，以便我们可以访问日历和获取/设置信息，并且可以安全地从Office 365进行通信Azure中托管到我们的应用程序的图形API，该应用程序也托管在Azure中。

作为AD管理员，他们可以随时拒绝对该应用程序的同意，但是客户认为如果发生安全事件，为时已晚。

不过，这样的组织还是不愿意的。

有什么方法可以限制日历的范围。ReadWrite权限吗？

我们可以使用Office 365管理API审核特定用户邮箱的MS Graph API调用吗？

我们可以针对特定用户邮箱禁用MS Graph API调用，类似于EWS在邮箱上具有EWSEnabled属性的方式吗？

我可以在Office 365的“安全性和合规性”管理部分下设置任何策略，以从Exchange管理员侧更好地控制此类应用程序吗？

Answer 1

我们可以针对特定用户邮箱禁用MS Graph API调用，类似于EWS在邮箱上具有EWSEnabled属性的方式吗？

是的。交换管理员可以使用“应用程序访问策略”来限制特定电子邮件或安全组的应用程序。

受限制的电子邮件返回以下错误消息：