如何在Azure活动目录应用程序中限制邮箱访问

Question

我可以使用microft.graph api阅读其他用户的电子邮件。需要有关如何限制邮箱访问的指导，以便用户可以单独查看其电子邮件。

我创建了一个Azure管理员并添加了3个用户。我注册了一个应用程序，并授予Mail.ReadWrite api权限。我生成了令牌，并且能够读取其他用户的电子邮件。需要指导，因为如何将邮箱访问限制为特定用户，并且特定用户可以访问自己的电子邮件

需要有关如何限制用户访问其他用户电子邮件的指南

Answer 1

客户端凭据允许该应用读取用户无需用户即可访问的所有信息。这意味着打开该应用程序的任何人都可以看到该信息。参见Get access without a user。

您需要的是Get access on behalf of a user。 要获取访问令牌，会将用户重定向到Microsoft身份平台/authorize端点。在授权码授予流程中，获得同意后，Azure AD将向您的应用程序返回一个授权码，它可以在Microsoft身份平台/token端点上针对访问令牌进行兑换。

最后，使用此访问令牌访问已登录用户的电子邮件。您不会看到其他用户的电子邮件。

Answer 2

我可以通过创建应用程序策略来限制我的应用程序访问特定的用户电子邮件。此链接帮助我实现了https://docs.microsoft.com/en-us/graph/auth-limit-mailbox-access，现在我正在使用客户端凭据来生成应用程序级别令牌并访问特定用户的电子邮件。