如何通过编程方式向Connect-ExchangeOnline cmdlet传递凭据？

核心限制说明 #

Connect-ExchangeOnline本身不支持直接传递动态MFA验证码完成非交互式认证——标准MFA要求用户实时交互验证（比如短信、APP验证码），无法通过脚本硬传。如果想要非交互式且直接复用用户现有凭证，官方推荐的替代方案是使用应用密码（仅针对开启MFA的O365用户可用）。

实现步骤 #

1. 生成应用密码

   • 用户登录O365安全中心，进入「我的账户」→「安全信息」→「添加方法」→「应用密码」，生成一个专用密码（此密码仅用于非交互式脚本，请勿与日常登录密码混用）。

2. GitHub Actions中存储机密

   • 将用户的UserPrincipalName（如user@org.com）、生成的应用密码分别存入GitHub仓库的机密中，命名为O365_USERNAME和O365_APP_PASSWORD。

3. PowerShell脚本代码
   在GitHub Actions的Workflow中，用以下代码完成无提示连接：

   # 从GitHub Actions机密中读取凭证信息
   $username = $env:O365_USERNAME
   $password = ConvertTo-SecureString $env:O365_APP_PASSWORD -AsPlainText -Force
   $credential = New-Object System.Management.Automation.PSCredential ($username, $password)
   
   # 无提示连接Exchange Online
   Connect-ExchangeOnline -Credential $credential -ShowProgress $true -CommandName "*"
   

   注：-CommandName "*"用于加载所有Exchange Online命令，可根据实际需求调整。

4. GitHub Actions Workflow示例片段

   jobs:
     connect-exchange:
       runs-on: windows-latest
       steps:
         - name: 拉取代码
           uses: actions/checkout@v4
         - name: 安装Exchange Online管理模块
           run: Install-Module -Name ExchangeOnlineManagement -Force -AllowClobber -Scope CurrentUser
         - name: 执行连接脚本
           env:
             O365_USERNAME: ${{ secrets.O365_USERNAME }}
             O365_APP_PASSWORD: ${{ secrets.O365_APP_PASSWORD }}
           run: .\your-script.ps1
   

重要提醒 #

• 应用密码与用户账号绑定，若用户MFA设置变更或账号权限调整，应用密码可能失效。
• 禁止在脚本中明文存储任何凭证，始终通过GitHub Actions机密传递。
• 若坚持使用普通密码+动态MFA验证码的方式，目前无官方支持的非交互式方案，第三方模拟交互工具（如SendKeys）稳定性极差，不建议在CI/CD流程中使用。

内容的提问来源于stack exchange，提问作者George-E-Zollos