如何让动态安全组成员拥有共享邮箱的Send As权限（混合环境）

核心实现步骤 #

动态安全组支持权限分配且能自动同步在职用户，完美匹配你的需求，具体操作如下：

1. 创建筛选在职用户的动态安全组 #

根据用户属性（需确保AD/Azure AD中已正确维护在职状态字段，比如EmployeeStatus）创建动态安全组：

• Azure AD门户操作：
  • 进入「组」>「新建组」，类型选「安全」，成员类型选「动态用户」
  • 添加成员规则：(user.employeeStatus -eq "Active")
• PowerShell命令（混合环境通用）：

  New-AzureADMSGroup -DisplayName "Active Users Send As Group" -Description "自动包含所有在职用户的安全组，用于共享邮箱Send As权限分配" -MailEnabled $false -MailNickname "ActiveUsersSendAs" -SecurityEnabled $true -GroupTypes "DynamicMembership" -MembershipRule "(user.employeeStatus -eq ""Active"")" -MembershipRuleProcessingState "On"
  

2. 为动态安全组分配共享邮箱Send As权限 #

根据共享邮箱所在位置（Exchange Online/本地Exchange）执行对应命令：

• 若共享邮箱在Exchange Online：

  Add-RecipientPermission "目标共享邮箱名称" -Trustee "Active Users Send As Group" -AccessRights SendAs -Confirm:$false
  

• 若共享邮箱在本地Exchange：

  Add-ADPermission "目标共享邮箱名称" -User "Active Users Send As Group" -ExtendedRights "Send As"
  

3. Power Automate流程验证 #

• 等待权限同步（约15-30分钟）后，测试PowerApp触发的流程，确认邮件可正常以共享邮箱地址发送
• 流程中直接指定共享邮箱为发件人，无需依赖操作用户个人权限，所有回复将统一来自共享邮箱SMTP地址

关键注意事项 #

• 确保AD/Azure AD中用户的在职状态属性（如EmployeeStatus）实时更新，动态组才能自动同步成员
• 混合环境下需确认Azure AD Connect已同步动态安全组及用户属性到本地Exchange（若涉及本地权限配置）
• 动态成员规则可按需扩展，比如结合部门、职位字段进一步缩小用户范围

内容的提问来源于stack exchange，提问作者user23840748