寻求无需用户认证的PowerShell自动化Teams操作长期可行方案

一、核心权限配置要点 #

要实现无需用户交互的Teams自动化操作，必须先在Azure AD完成应用注册并配置对应应用权限（而非委托权限）：

• 频道/聊天发消息：需为应用分配ChannelMessage.Send（频道场景）或ChatMessage.Send（聊天场景）应用权限，完成管理员同意后生效。
• 创建Teams会议：需配置OnlineMeetings.ReadWrite.All应用权限，同时通过PowerShell创建并分配应用访问策略（New-CsApplicationAccessPolicy），确保应用拥有会议创建权限。

二、PowerShell实现步骤 #

1. 获取应用访问令牌 #

通过Azure AD应用的客户端ID、密钥、租户ID获取Graph API的客户端凭据令牌：

$tenantId = "你的租户ID"
$clientId = "应用注册的客户端ID"
$clientSecret = "应用的客户端密钥"

$tokenUri = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
$tokenParams = @{
    grant_type    = "client_credentials"
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
}

$tokenResult = Invoke-RestMethod -Uri $tokenUri -Method Post -Body $tokenParams
$accessToken = $tokenResult.access_token

2. 发送消息到Teams频道 #

调用Graph API向指定团队频道发送消息：

$teamId = "目标团队ID"
$channelId = "目标频道ID"
$messageApiUri = "https://graph.microsoft.com/v1.0/teams/$teamId/channels/$channelId/messages"

$messageContent = @{
    body = @{
        content = "【自动化通知】这是通过PowerShell应用权限发送的消息"
    }
} | ConvertTo-Json

Invoke-RestMethod -Uri $messageApiUri -Method Post `
    -Headers @{Authorization = "Bearer $accessToken"} `
    -Body $messageContent `
    -ContentType "application/json"

3. 创建Teams会议 #

以指定租户用户为组织者创建会议（应用权限模式下需指定存在的用户作为组织者）：

$organizerUserId = "会议组织者的用户ID"
$meetingApiUri = "https://graph.microsoft.com/v1.0/users/$organizerUserId/onlineMeetings"

$meetingParams = @{
    startDateTime = "2024-06-20T10:00:00Z"
    endDateTime   = "2024-06-20T11:00:00Z"
    subject       = "PowerShell自动化创建的Teams会议"
    participants  = @{
        organizer = @{
            identity = @{
                user = @{ id = $organizerUserId }
            }
        }
    }
} | ConvertTo-Json

$meetingResult = Invoke-RestMethod -Uri $meetingApiUri -Method Post `
    -Headers @{Authorization = "Bearer $accessToken"} `
    -Body $meetingParams `
    -ContentType "application/json"

Write-Host "会议创建成功，参会链接：$($meetingResult.joinWebUrl)"

三、长期自动化部署建议 #

• 令牌自动刷新：客户端凭据令牌有效期约1小时，可在脚本中添加令牌过期时间检查，自动触发刷新逻辑。
• 任务调度：将脚本封装为独立模块，使用Windows任务计划程序或Azure Automation Runbook设置定期触发，实现无人值守的长期自动化。
• 权限最小化：仅授予应用完成操作所需的最小权限，降低安全风险。

内容的提问来源于stack exchange，提问作者Andrew Draper