使用Azure系统分配托管身份连接Exchange Online遇授权错误求助

问题场景 #

我有一台配置了Exchange.ManageAsApp权限，以及Entra ID安全管理员、合规管理员权限的Azure VM。在PowerShell会话中执行Connect-ExchangeOnline -ManagedIdentity -Organisation "Org Name"命令连接Exchange Online时，出现OperationStopped: UnAuthorized错误。该命令在已安装PowerShell模块的Docker容器内和容器外运行均报相同错误。我想知道：是否需要Exchange管理员权限才能访问Exchange Online PowerShell，还是现有权限已足够？

启用错误报告后得到以下CSV格式错误信息：

ClientRequestID,StartTime,EndTime,CmdletName,CmdletParameters,GenericInfo,GenericErrors,TotalTime
6bb7b633-9b4f-42e3-b42a-31204581ec22,2024-07-29 13:12:57Z,2024-07-29 13:12:57Z,Get-ConnectionContext,ExchangeEnvironmentName:O365Default;ConnectionUri:;AzureADAuthorizationEndpointUri:;UserPrincipalName:;BypassMailboxAnchoring:False;DelegatedOrganization:;CertificateFilePath:;CertificateThumbprint:;AppId:;Organization:TestDomainName.onmicrosoft.com;Device:False;InlineCredential:False;CommandName:System.String[];FormatTypeName:System.String[];Prefix:;PageSize:1000;ExoModuleVersion:3.5.0;Logger:Microsoft.Online.CSE.RestApiPowerShellModule.Instrumentation.CmdletLogger;ConnectionId:;IsRpsSession:False;EnableErrorReporting:True;ManagedIdentity:True;ManagedIdentityAccountId:;AccessToken:;,SessionPrefixName:ExchangeOnlineInternalSession_;ConnectionUri:https://outlook.office365.com;PowerShellConnectionUri:https://outlook.office365.com:443/PowerShell-LiveID?BasicAuthToOAuthConversion=true&HideBannerMessage=true&ConnectionId=&ClientProcessId=2352&ExoModuleVersion=3.5.0&OSVersion=Unix+4.18.0.553&email=SystemMailbox%7d@TestDomainName.onmicrosoft.com;AzureAdAuthorizationEndpointUri:https://login.microsoftonline.com/organizations;PsVersion:7.4.1;ConnectionId:;ClientProcessId:2352;AppId:;Organization:TestDomainName.onmicrosoft.com;ExoModuleVersion:3.5.0;ExchangeEnvironmentName: O365Default;IsCertBasedFlow:False;IsCloudShellEnvironment:False;RoutingHint:SystemMailbox{}@TestDomainName.onmicrosoft.com;RoutingHintPrefix:UPNRoutingHintHeader:X-AnchorMailbox;OsVersion:Unix 4.18.0.553;CommandName:*;FormatTypeName:*;Prefix:;ObjectId:;PageSize:1000;IsRPSSession:False;IsEopSession:False;ErrorReportingEnabled:True;ManagedIdentity:True;ManagedIdentityAccountId:;UserPrincipalName:OAuthUser@TestDomainName.onmicrosoft.com;TenantId:;;[SCPU=0; SAM=0; PCPU=0; PM=0];,,243.9159
88775461-c159-44c9-8fdc-4d24ae64e4f0,2024-07-29 13:12:57Z,0001-01-01 00:00:00Z,New-EXOModule,ConnectionContext:Microsoft.Exchange.Management.ExoPowershellSnapin.ConnectionContext;SkipLoadingFormatData:False;,成功从缓存获取访问令牌;[SCPU=0; SAM=0; PCPU=0; PM=0];,System.UnauthorizedAccessException: 未授权
   在 Microsoft.Exchange.Management.ExoPowershellSnapin.NewEXOModule.CheckResponseHeadersAndGetNewTokenIfNeeded(ITokenProvider tokenProvider, HttpResponseHeaders responseHeaders, String errorMessage, String cmdletId, AuthHeader& authHeader, Boolean& isRetryHappening, String connectionUri)
   在 Microsoft.Exchange.Management.ExoPowershellSnapin.NewEXOModule.ProcessRecord();,-6.38579E+13
ce8e7287-0bd9-40a8-9e7e-efb9e5b3a7e3,2024-07-29 13:12:57Z,0001-01-01 00:00:00Z,Connect-ExchangeOnline,ManagedIdentity:True;Organization:TestDomainName.onmicrosoft.com;EnableErrorReporting:True;,[SCPU=0; SAM=0; PCPU=0; PM=0];,对象引用未设置为对象的实例。
   在 Microsoft.Exchange.Management.ExoPowershellSnapin.GetEXOBanner.ProcessRecord()
   在 System.Management.Automation.CommandProcessor.ProcessRecord();
未授权
   在 Microsoft.Exchange.Management.ExoPowershellSnapin.NewEXOModule.CheckResponseHeadersAndGetNewTokenIfNeeded(ITokenProvider tokenProvider, HttpResponseHeaders responseHeaders, String errorMessage, String cmdletId, AuthHeader& authHeader, Boolean& isRetryHappening, String connectionUri)
   在 Microsoft.Exchange.Management.ExoPowershellSnapin.NewEXOModule.ProcessRecord()
   在 System.Management.Automation.CommandProcessor.ProcessRecord();
对象引用未设置为对象的实例。
   在 Microsoft.Exchange.Management.ExoPowershellSnapin.GetEXOBanner.ProcessRecord()
   在 System.Management.Automation.CommandProcessor.ProcessRecord();,-6.38579E+13

权限要求说明 #

• Exchange.ManageAsApp权限≠Exchange管理员权限：这个权限仅用于应用程序身份访问Exchange Online API，Exchange Online PowerShell（托管身份连接方式）需要的是Exchange管理员角色权限，Entra ID的安全管理员、合规管理员属于目录级权限，无法授予Exchange Online PowerShell的访问权限。
• 现有权限不足：必须为托管身份分配Exchange管理员角色（或更细分的Exchange权限角色，如收件人管理员，取决于具体操作需求）。

排查与解决步骤 #

1. 为托管身份分配Exchange管理员角色
   使用具备Exchange管理员权限的账户执行以下PowerShell命令：

   # 获取托管身份的主体信息
   $managedIdentity = Get-AzADServicePrincipal -DisplayName "<你的VM托管标识名称>"
   # 分配Exchange管理员角色
   New-ManagementRoleAssignment -Role "Exchange Administrator" -User $managedIdentity.UserPrincipalName
   

   注意：角色分配生效需要15-30分钟，请勿立即重试。

2. 验证权限配置

   • 确认Exchange.ManageAsApp权限已正确授予托管身份，且范围为整个租户，无特定限制。
   • 检查是否存在权限冲突，比如是否仅授予了特定邮箱的权限而非全局。

3. 修复命令参数与模块版本

   • 升级ExchangeOnlineManagement模块到最新版本：

     Update-Module -Name ExchangeOnlineManagement
     

   • 修正命令参数拼写（正确为美式拼写-Organization）：

     Connect-ExchangeOnline -ManagedIdentity -Organization "TestDomainName.onmicrosoft.com"
     

4. 错误根源分析
   日志显示已成功获取访问令牌，但后续请求被拒绝，说明令牌权限不足以访问Exchange Online PowerShell端点，核心问题是缺少Exchange角色权限。附带的对象引用错误是授权失败后的连锁反应，解决授权问题后该错误会自动消失。

内容的提问来源于stack exchange，提问作者Ross