能否为系统托管标识授予特定O365共享邮箱委派权限并通过Graph API查询

首先明确：系统托管标识无法被授予委派权限。委派权限是针对用户身份的交互访问场景设计的，而托管标识本质是Azure AD中的服务主体，不属于Exchange可识别的用户/收件人对象，只能通过应用权限模式访问Exchange/Graph资源。

你尝试用Add-MailboxPermission命令传递托管标识的Object ID失败，原因很简单：这个命令仅针对Exchange中的收件人（用户、安全组、邮箱对象）生效，托管标识不在Exchange的收件人列表里，所以命令无法识别这个主体。

针对你的需求（无人值守访问特定共享邮箱日历，避免全组织权限），推荐以下简化方案：

步骤1：给托管标识授予应用权限 #

在Azure AD中找到你的系统托管标识，添加Graph API的Calendars.Read（应用权限），并完成管理员同意。

步骤2：创建应用访问策略限制范围 #

通过Exchange Online PowerShell执行以下命令，限制托管标识仅能访问目标共享邮箱：

# 替换为托管标识的应用ID（可在Azure AD托管标识详情页获取）
$appId = "<托管标识应用ID>"
# 替换为目标共享邮箱的邮件地址
$mailboxAddress = "<共享邮箱地址>"

# 创建应用访问策略
New-ApplicationAccessPolicy -AppId $appId -PolicyScopeGroupId $mailboxAddress -AccessRight RestrictAccess -Description "限制托管标识仅访问指定共享邮箱"

# 验证策略生效
Test-ApplicationAccessPolicy -Identity $mailboxAddress -AppId $appId

执行后，该托管标识就只能访问指定共享邮箱的日历，无法触及其他邮箱。

步骤3：在Runbook中调用Graph API #

用托管标识认证后直接调用Graph API获取日历内容，示例PowerShell代码：

# 以托管标识身份连接Azure AD
Connect-AzAccount -Identity

# 获取Graph访问令牌
$token = Get-AzAccessToken -ResourceUrl "https://graph.microsoft.com"

# 调用Graph API获取共享邮箱日历
$headers = @{
    "Authorization" = "Bearer $($token.Token)"
}
$calendarUrl = "https://graph.microsoft.com/v1.0/users/$mailboxAddress/calendar/events"
$calendarEvents = Invoke-RestMethod -Uri $calendarUrl -Headers $headers -Method Get

# 处理日历事件
$calendarEvents.value

如果一定要模拟委派权限的方式，也可以创建一个专用服务用户，给该用户添加共享邮箱的委派权限（用Add-MailboxPermission或Add-RecipientPermission），然后在Runbook中用该用户的凭据（存储在Azure Key Vault中）认证访问。但这种方式需要管理用户凭据，安全性不如托管标识+应用权限的方案。

内容的提问来源于stack exchange，提问作者Lorenzo Righini