如何避免Azure Logic Apps中共享邮箱O365 API连接因令牌过期失效

核心原因 #

共享邮箱本身没有独立的用户凭据，默认的O365连接用的是个人用户授权，这类授权的刷新令牌有过期限制（通常90天），而且如果个人用户的密码变更、MFA设置调整，都会直接导致连接失效。普通邮箱因为是独立用户，可配置持久的服务主体授权，所以不会有这个问题。

可行解决方案 #

1. 使用服务主体（Service Principal）授权连接 #

这是最稳定的方案，绕开个人用户凭据的限制：

• 先在Azure AD中注册一个应用程序（服务主体），给它分配Exchange Online权限：需要添加Mail.Send应用权限（注意是应用权限，不是委派权限），并完成管理员同意。
• 在Logic Apps中创建新的O365连接时，选择「使用服务主体登录」，填入应用程序的客户端ID、租户ID、客户端密钥。
• 给共享邮箱授予该服务主体的发送权限：在Exchange Online PowerShell中执行命令：

  Add-RecipientPermission "<共享邮箱地址>" -Trustee "<服务主体的应用ID>" -AccessRights SendAs
  

  或者如果需要代表发送（显示发件人为共享邮箱），用：

  Add-MailboxPermission "<共享邮箱地址>" -User "<服务主体的应用ID>" -AccessRights FullAccess -InheritanceType All
  

2. 配置连接的自动刷新（针对现有个人授权连接） #

如果暂时不想用服务主体，可尝试延长刷新令牌有效期：

• 确保授权的个人用户没有开启频繁密码过期策略，且MFA设置稳定。
• 在Azure AD的应用注册中，找到Logic Apps使用的O365连接对应的应用，将refreshTokenValidityPeriod设置为最大值（90天是默认上限，部分租户可通过支持工单调整，但不推荐）。
• 注意：这个方案还是依赖个人用户的状态，不如服务主体稳定。

3. 切换到Exchange Online连接器的「发送邮件（V2）」操作 #

部分场景下，使用Exchange Online连接器的V2版本，配合服务主体授权，能更稳定地处理共享邮箱发送：

• 创建Exchange Online的服务主体连接，配置方式和O365服务主体类似。
• 在操作中指定「发件人地址」为共享邮箱地址，确保服务主体已获得该邮箱的发送权限。

注意事项 #

• 服务主体的客户端密钥需要定期轮换，避免密钥过期导致连接失效，可在Azure AD中配置密钥的过期提醒。
• 所有权限变更后，需要等待15-30分钟让Exchange Online同步权限，再测试Logic Apps连接。

内容的提问来源于stack exchange，提问作者WiredLessInTX