应用程序访问策略答案

【问题标题】：Application access Policy应用程序访问策略
【发布时间】：2021-12-09 03:01:28
【问题描述】：

如果我们将应用程序访问策略范围限定为启用邮件的特定组并仅授予组成员访问权限，则任何用户 ID 都可以添加到组中并利用对邮箱的完全访问权限。可以添加什么级别的安全控制来防止这种情况发生？

【问题讨论】：

如果有帮助，请查看此 MS 链接：docs.microsoft.com/en-us/powershell/module/exchange/…
抱歉没有帮助，我需要知道如何限制启用邮件的安全组的所有者在该组中添加成员。有哪些设置和控制机制可用于限制组的所有者？？
您可以添加或删除启用邮件的安全组的所有者，但您不能限制所有者将成员添加到启用邮件的安全组。默认情况下，创建组的人是所有者。所有组必须至少有一个所有者。请查看此文档以供参考：docs.microsoft.com/en-us/exchange/recipients-in-exchange-online/…

标签： azure-devops azure-active-directory policy

【解决方案1】：

使用 New-ApplicationAccessPolicy cmdlet 可限制或拒绝使用 API（Outlook REST、Microsoft Graph 或 Exchange Web 服务 (EWS)）的应用程序访问特定邮箱集。这些策略是对应用程序声明的权限范围的补充。

虽然 Mail.Read 或 Calendar.Read 等基于范围的资源访问可有效确保应用程序只能读取邮箱中的电子邮件或事件而不能执行任何其他操作，但应用程序访问策略允许管理员强制实施基于范围的限制在邮箱列表中。例如，为一个国家开发的应用程序不应访问其他国家的数据。或者，CRM 集成应用程序只能访问销售组织中的日历，而不能访问其他部门。

参考：New-ApplicationAccessPolicy (ExchangePowerShell) | Microsoft Docs

【讨论】：