Microsoft Graph Service /守护程序访问特定的共享邮箱

Question

我有一个查询Microsoft Graph的应用程序，它必须作为服务/守护程序运行。此应用需要访问一个特定的共享邮箱。该应用程序不能访问整个租户（我相信这是“授予管理员同意”的行为）。如何将服务/守护程序的权限授予一个特定的共享邮箱？

我看过以下文档：

https://docs.microsoft.com/en-us/graph/auth-limit-mailbox-access

https://docs.microsoft.com/en-us/powershell/module/exchange/organization/new-applicationaccesspolicy?view=exchange-ps

我尝试了cmdlet“ New-ApplicationAccessPolicy”，但-PolicyGroupId的目标是共享邮箱，因为它不是安全主体，它会返回错误。

Answer 1

共享邮箱不是安全主体。在文档{New-ApplicationAccessPolicy

中指出了PolicyGroupId的这一限制。

要限制对共享邮箱的访问，应创建一个新的SG，将共享邮箱作为成员包括在内，然后使用SG创建AppAccessPolicy。