LogicApps调用MSGraph API读取共享邮箱：查询验证与权限咨询

一、查询语句验证 #

语法正确性 #

你的查询语句在语法层面符合Microsoft Graph API v1.0的规范：

• 端点/users/@{items('For_each_5')}/messages正确指向循环中指定用户的邮箱
• $filter条件组合合法：
  • from/emailAddress/address eq 'sharedmailbox@example.com.au'精准筛选来自目标共享邮箱的邮件
  • toRecipients/any(r:r/emailAddress/address eq '@{items('For_each_5')}')正确匹配收件人为当前循环用户的邮件
  • contains(subject, 'keyword')有效筛选主题包含指定关键词的邮件
• $select指定的返回字段格式无误，仅获取必要数据提升请求效率

逻辑匹配需求 #

若你的业务目标是获取循环用户自身邮箱中，来自指定共享邮箱且主题含关键词的邮件，该查询完全匹配需求。但如果目标是直接查询共享邮箱内的相关邮件，则需调整端点为https://graph.microsoft.com/v1.0/users/sharedmailbox@example.com.au/messages，$filter可简化为contains(subject, 'keyword')（如需额外筛选条件可补充）。

二、最低权限要求 #

根据认证方式不同，需选择对应权限并配合限制策略实现仅访问指定共享邮箱：

1. 委托权限（Delegated） #

• 最低权限：Mail.ReadBasic 或 Mail.Read
• 限制方式：确保使用该权限的登录用户已被添加为目标共享邮箱的成员（拥有访问权限），应用将以用户身份仅访问其有权限的邮箱，自然限定在指定共享邮箱范围内。

2. 应用权限（Application） #

• 最低权限：Mail.ReadBasic.All 或 Mail.Read.All
• 关键限制：直接授予应用权限会默认允许访问所有邮箱，需通过应用访问政策锁定范围：
  1. 先在Azure AD中为应用授予上述权限
  2. 使用Exchange Online PowerShell创建限制政策：

     New-ApplicationAccessPolicy -AppId <你的应用客户端ID> -PolicyScopeGroupId <共享邮箱的对象ID> -AccessRight RestrictAccess -Description "限制应用仅访问指定共享邮箱"
     

  3. 验证政策生效：

     Test-ApplicationAccessPolicy -AppId <你的应用客户端ID> -Identity <共享邮箱地址>
     

内容的提问来源于stack exchange，提问作者HarriS