使用注册应用ID连接Exchange Online PowerShell时遇权限错误

问题根源 #

1. 请求AccessToken时使用的scope参数不正确，应用权限模式下需指定正确的资源标识符，而非Exchange.Manage
2. 仅配置Azure AD的Exchange.ManageAsAppAPI权限不够，还需为应用分配Exchange Online的管理角色

修正步骤 #

1. 修正AccessToken请求代码 #

将请求体中的scope参数移除，同时确保resource参数指向正确的Exchange资源地址：

$tenantId = "<tenantId>"
$clientId = "<appId>"
$clientSecret = "<client secret>"

$tokenRequestUrl = "https://login.microsoftonline.com/$tenantId/oauth2/token"

$body = @{
    "grant_type" = "client_credentials"
    "client_id" = $clientId
    "client_secret" = $clientSecret
    "resource" = "https://outlook.office365.com"
}

$response = Invoke-RestMethod -Uri $tokenRequestUrl -Method Post -Body $body
$accessToken = $response.access_token

注：应用权限模式下无需指定scope，只需正确设置resource为Exchange的官方资源地址

2. 为应用分配Exchange Online管理角色 #

仅配置API权限无法让应用获得Exchange的操作权限，必须通过PowerShell为应用分配对应角色：

• 先用具备Exchange管理员权限的账号连接Exchange Online：

Connect-ExchangeOnline -UserPrincipalName "<你的管理员账号>"

• 为应用分配所需角色（示例为全权限Exchange管理员，可根据需求替换为细粒度角色如Mail Recipients）：

New-ManagementRoleAssignment -Role "Exchange Administrator" -Application "<应用ID>"

3. 重新执行连接命令 #

角色分配生效后（可能需等待数分钟），使用修正后的AccessToken重新连接：

Connect-ExchangeOnline -AppId "<appId>" -AccessToken $accessToken -Organization "*****.onmicrosoft.com"

关键注意事项 #

• Exchange.ManageAsApp是Azure AD层的API授权，仅允许应用调用Exchange接口，实际操作权限需通过Exchange角色分配授予
• 执行角色分配的账号必须拥有Exchange管理员级别的权限
• 角色分配不会立即生效，建议等待5-10分钟后重试连接

内容的提问来源于stack exchange，提问作者Veena Devi