使用MS Graph应用权限从共享邮箱发邮件遇权限问题求助

应用级凭据完全可以实现守护进程模式下从共享邮箱发送邮件的需求，你遇到的ErrorAccessDenied错误主要是权限配置或调用方式不当导致的，以下是具体解决步骤：

一、配置正确的应用权限 #

在Azure AD应用注册中，必须添加应用类型的Mail.Send权限，而非委派权限：

• 进入Azure AD应用注册→你的应用→“API权限”→“添加权限”→选择“Microsoft Graph”→“应用权限”
• 找到并勾选Mail.Send权限，点击“添加权限”
• 必须由租户管理员点击“授予管理员同意”，完成权限生效

二、正确的Python调用代码示例 #

使用users接口指定共享邮箱的邮箱地址或对象ID，调用send_mail方法：

from msgraph import GraphServiceClient
from azure.identity import ClientSecretCredential
import asyncio

async def send_shared_mail():
    # 初始化凭据
    credential = ClientSecretCredential(
        tenant_id="你的租户ID",
        client_id="你的应用注册ID",
        client_secret="你的应用密钥"
    )
    client = GraphServiceClient(credential)

    # 构造邮件内容
    message_payload = {
        "subject": "共享邮箱测试邮件",
        "body": {
            "contentType": "Text",
            "content": "这是通过应用级凭据从共享邮箱发送的邮件"
        },
        "toRecipients": [
            {
                "emailAddress": {
                    "address": "recipient@example.com"
                }
            }
        ]
    }

    # 发送邮件，替换为你的共享邮箱地址
    await client.users.by_user_id("shared-mailbox@yourdomain.com").send_mail.post(
        body={"message": message_payload, "saveToSentItems": True}
    )

if __name__ == "__main__":
    asyncio.run(send_shared_mail())

• 注意：不能使用me接口（应用级授权无关联用户），必须明确指定共享邮箱标识
• saveToSentItems: True会将邮件保存到共享邮箱的已发送文件夹，可根据需求调整

三、ErrorAccessDenied排查要点 #

1. 权限未完成管理员同意：添加应用权限后必须由管理员完成同意操作，否则权限不生效
2. 权限类型错误：误添加委派权限（需要用户交互），应用级授权仅支持应用权限
3. 共享邮箱访问限制：少数场景下需确认共享邮箱未设置特殊访问限制，通常配置Mail.Send应用权限即可覆盖访问需求
4. 调用路径错误：确保调用的是users/{shared-mailbox-id}/sendMail，而非其他路径

内容的提问来源于stack exchange，提问作者Kitster1