如何阻止用户在OWA中修改共享M365应用账户的密码

嘿，这个问题确实挺闹心的——共享账户最怕有人乱改密码，搞得所有人都没法正常用。别担心，有几个实用的办法能帮你解决这个问题，我给你一步步理清楚：

• 禁用用户自助修改密码的权限
  作为全局管理员，你可以直接在M365管理中心或者Azure AD里调整这个共享账户的权限。找到该账户的用户详情页，关闭「允许用户更改密码」的选项就行。这样不管是通过OWA还是其他终端，普通用户都没法自行修改密码了，只有指定的管理员才能操作密码重置，从根源上避免乱改的情况。

• 限制账户仅用于应用登录，禁止交互式访问
  既然这个账户是给应用用的，那可以设置成不让用户通过OWA这种交互式界面登录。你可以在Azure AD的用户配置里，给这个账户添加条件访问策略：只允许指定的应用程序登录，拒绝所有来自浏览器（比如OWA网页端）的交互式登录请求。这样用户就算拿到账号密码，也没法登录OWA去改密码，只能让应用正常使用这个账户。

• 长期建议：替换共享账户为更安全的方案
  其实共享账户本身就有安全风险，长远来看，建议你改用Azure AD应用注册或者托管身份来替代。这类方案不需要共享密码，应用可以通过服务主体或者托管身份直接访问M365资源，既安全又不用再担心有人乱改密码的问题。

如果操作过程中遇到具体步骤卡壳的地方，随时说，我再给你细化说明～

备注：内容来源于stack exchange，提问作者user1757342