使用PowerShell-Graph-API删除ExchangeOnline邮箱联系人遇401错误求助

一、401未授权错误排查要点 #

由于同一应用注册的添加联系人脚本可正常运行，删除操作失败的核心差异通常在权限、令牌或API细节上：

• 权限范围验证：确认应用注册已添加Contacts.ReadWrite.All（应用权限）并完成管理员同意。添加联系人可能仅需读写权限，但需确保权限类型为应用权限（无人值守场景不能使用委派权限），且权限已被正确授予。
• 令牌内容检查：解析获取的Bearer令牌，查看roles声明中是否包含Contacts.ReadWrite.All。无人值守场景必须使用客户端凭据流（Client Credentials Flow）获取令牌，不能使用依赖用户交互的授权码流。
• 目标邮箱访问权限：即使拥有全局权限，部分邮箱可能因权限限制导致无法访问联系人文件夹。可尝试给应用分配MailboxSettings.ReadWrite应用权限，或在Exchange管理中心为应用授予目标邮箱的完全访问权限。
• API端点正确性：删除联系人的Graph API端点必须指定用户UPN，不能使用me/contacts（仅适用于已登录用户）。正确端点格式：https://graph.microsoft.com/v1.0/users/{目标UPN}/contacts/{contactId}，检查脚本中是否存在端点拼接错误。
• 令牌有效性：确认脚本在每次请求前都获取了新的有效令牌，避免使用过期令牌导致授权失败。

二、无人值守删除个人联系人的替代方案 #

方案1：Exchange Online PowerShell模块 #

通过服务主体身份验证执行删除操作，无需手动处理Graph API令牌：

1. 给Azure AD应用注册添加Exchange.ManageAsApp应用权限并完成管理员同意。
2. 安装模块：

Install-Module -Name ExchangeOnlineManagement -Force

3. 无人值守脚本示例：

# 配置参数
$tenantId = "你的租户ID"
$clientId = "你的应用ID"
$targetUPN = "目标邮箱UPN"
$clientSecret = ConvertTo-SecureString "你的应用密钥" -AsPlainText -Force
$credential = New-Object System.Management.Automation.PSCredential($clientId, $clientSecret)

# 连接Exchange Online
Connect-ExchangeOnline -Credential $credential -Organization $tenantId -ShowBanner:$false

# 获取所有个人联系人并批量删除
$contactFolders = Get-EXOMailboxFolderStatistics -Identity $targetUPN -FolderScope Contacts | Where-Object {$_.FolderType -eq "Contacts"}
foreach ($folder in $contactFolders) {
    $contacts = Get-EXOContactFolder -Identity $folder.FolderId -IncludeContacts | Select-Object -ExpandProperty Contacts
    $contacts | ForEach-Object { Remove-EXOContact -Identity $_.Id -Confirm:$false }
}

# 断开连接
Disconnect-ExchangeOnline -Confirm:$false

方案2：Microsoft Graph PowerShell模块 #

使用官方Graph模块简化令牌管理和API调用：

1. 安装模块：

Install-Module -Name Microsoft.Graph.Contacts -Force

2. 无人值守脚本示例：

# 配置参数
$tenantId = "你的租户ID"
$clientId = "你的应用ID"
$targetUPN = "目标邮箱UPN"
$clientSecret = ConvertTo-SecureString "你的应用密钥" -AsPlainText -Force

# 连接Graph
Connect-MgGraph -ClientId $clientId -ClientSecret $clientSecret -TenantId $tenantId -Scopes "https://graph.microsoft.com/.default" -NoWelcome

# 获取并删除所有联系人
$contacts = Get-MgUserContact -UserId $targetUPN -All
foreach ($contact in $contacts) {
    Remove-MgUserContact -UserId $targetUPN -ContactId $contact.Id
}

# 断开连接
Disconnect-MgGraph

内容的提问来源于stack exchange，提问作者StraussKrone