Microsoft Graph API - 使用应用程序（守护程序）标识确定委托信息

Question

我正在使用守护程序应用程序令牌通过 Microsoft Graph API(/users/{id}/mailFolders) 获取邮件文件夹信息。在这种情况下，我可以接收任何用户的文件夹。但是当作为应用程序进行身份验证时（而不是使用用户），您不能使用委派权限。

如何使用应用程序身份检查用户是否有权访问委派文件夹，或者 MS Graph 是否可以在使用应用程序身份时以某种方式强制用户访问另一个用户的邮箱？

Answer 1

没有。这是不可能的。

首先你需要了解the difference在Azure AD中Application token（应用程序权限）和User token（委托权限）之间的关系。

如何使用应用程序身份检查用户是否有权访问 委托文件夹？

当您使用应用程序令牌时，您正在玩​​一个可以访问所有邮箱的应用程序。您不是以用户身份登录，因此无法检查用户对其他用户邮箱的访问权限。

MS Graph 能否以某种方式强制用户访问另一个用户的邮箱 何时使用应用程序身份？

同样，MS Graph 本身也不提供此功能。你可以Use the EAC to assign permissions或Assign permissions to the entire mailbox with Exchange Online Powershell。