Microsoft Graph Service/Daemon 访问特定的共享邮箱

Question

我有一个查询 Microsoft Graph 的应用程序，它必须 运行 作为 service/daemon。此应用需要访问一个特定的共享邮箱。该应用程序不得访问整个租户（我认为这是 'Grant Admin Consent' 的行为）。我将如何向一个特定的共享邮箱授予 service/daemon 权限？

我看过这个文档：

https://docs.microsoft.com/en-us/graph/auth-limit-mailbox-access

https://docs.microsoft.com/en-us/powershell/module/exchange/organization/new-applicationaccesspolicy?view=exchange-ps

我已尝试使用 cmdlet "New-ApplicationAccessPolicy"，但 -PolicyGroupId 的目标是共享邮箱，returns 是一个错误，因为它不是安全主体。

Answer 1

共享邮箱不是安全主体。在文档@ New-ApplicationAccessPolicy

中指出了对 PolicyGroupId 的限制

要限制对共享邮箱的访问，您应该创建一个新的 SG，将共享邮箱作为成员包括在内，然后使用 SG 创建 AppAccessPolicy。