为企业应用添加Exchange.Manage权限遇错，求Graph API/PowerShell解决方案

错误原因 #

你遇到的AADSTS650053和范围不存在错误，核心问题是：

• 资源ID 00000003-0000-0000-c000-000000000000 对应Exchange Online服务主体，但Exchange.Manage并非该资源的有效权限范围。
• 针对Exchange Online的管理类权限，正确的应用权限是Exchange.ManageAsApp（适用于无用户上下文的后台操作）；若需基于用户上下文的委派权限，则应使用EWS.AccessAsUser.All等对应范围。

使用Microsoft Graph API添加API权限 #

可以通过Graph API的应用角色分配端点为企业应用添加权限，步骤如下：

1. 获取目标企业应用的objectId（或通过appId查询），以及Exchange Online服务主体的resourceId（即00000003-0000-0000-c000-000000000000）。
2. 调用接口获取Exchange.ManageAsApp权限的角色ID：

GET https://graph.microsoft.com/v1.0/servicePrincipals/{resourceId}/appRoles

筛选返回结果中value为Exchange.ManageAsApp的条目，提取其id。
3. 发送POST请求完成权限添加：

POST https://graph.microsoft.com/v1.0/servicePrincipals/{yourAppObjectId}/appRoleAssignments
Content-Type: application/json

{
  "principalId": "{yourAppObjectId}",
  "resourceId": "00000003-0000-0000-c000-000000000000",
  "appRoleId": "{exchangeManageAsAppRoleId}"
}

注意：调用此API需持有包含Application.ReadWrite.All或AppRoleAssignment.ReadWrite.All权限的访问令牌。

使用PowerShell添加API权限 #

方法1：Microsoft Graph PowerShell模块（推荐） #

# 连接Graph，需具备应用权限管理相关权限
Connect-MgGraph -Scopes "AppRoleAssignment.ReadWrite.All", "Application.Read.All"

# 获取目标企业应用的服务主体
$targetApp = Get-MgServicePrincipal -Filter "appId eq '{yourAppClientId}'"

# 获取Exchange Online服务主体
$exchangeSP = Get-MgServicePrincipal -Filter "appId eq '00000003-0000-0000-c000-000000000000'"

# 筛选Exchange.ManageAsApp权限ID
$manageAsAppRole = $exchangeSP.AppRoles | Where-Object { $_.Value -eq "Exchange.ManageAsApp" }

# 执行权限分配
New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $targetApp.Id -PrincipalId $targetApp.Id -ResourceId $exchangeSP.Id -AppRoleId $manageAsAppRole.Id

方法2：AzureAD模块（已弃用，仅兼容旧环境） #

# 连接AzureAD
Connect-AzureAD

# 获取目标企业应用
$targetApp = Get-AzureADServicePrincipal -Filter "AppId eq '{yourAppClientId}'"

# 获取Exchange Online服务主体
$exchangeSP = Get-AzureADServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"

# 筛选Exchange.ManageAsApp权限ID
$manageAsAppRole = $exchangeSP.AppRoles | Where-Object { $_.Value -eq "Exchange.ManageAsApp" }

# 执行权限分配
New-AzureADServicePrincipalAppRoleAssignment -ObjectId $targetApp.ObjectId -PrincipalId $targetApp.ObjectId -ResourceId $exchangeSP.ObjectId -Id $manageAsAppRole.Id

内容的提问来源于stack exchange，提问作者Veena Devi