多租户应用连接xyz.com租户ExchangeOnline出现授权失败问题求助

问题详情 #

• 在abc.com租户中创建了多租户企业应用X-app，已在xyz.com租户中为该应用授予全部Exchange权限，且可在Azure应用列表中看到该应用的服务主体。
• 尝试通过以下PowerShell代码，使用客户端凭证方式获取令牌后连接xyz.com租户的ExchangeOnline：

$tenant = 'xyz.onmicrosoft.com' //of xyz.com
$clientId = "xxxxxxxx-87e9-49fc-888e-xxxxxxxxxx" //of X-app
$clientSecret = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" //of X-app
$tenantId = "xxxxxxxx-e4d4-4859-abf9-xxxxxxxxxxxx" //of xyz.com
$headers = New-Object "System.Collections.Generic.Dictionary[[String],[String]]"
$headers.Add("Content-Type", "application/x-www-form-urlencoded")
$body = "client_id=" + $clientId + "&scope=https%3A%2F%2Foutlook.office365.com%2F.default&grant_type=client_credentials&client_secret=" + $clientSecret

$url = "https://login.microsoftonline.com/" + $tenantId + "/oauth2/v2.0/token"
$response = Invoke-RestMethod $url -Method 'POST' -Headers $headers -Body $body

Connect-ExchangeOnline -Organization $tenant -AccessToken $response.access_token

• 执行时出现未授权错误：

UnAuthorized
At C:\Program Files\WindowsPowerShell\Modules\ExchangeOnlineManagement\3.1.0\netFramework\ExchangeOnlineManagement.psm1:733 char:21
+                     throw $_.Exception;
+                     ~~~~~~~~~~~~~~~~~~
+ CategoryInfo          : OperationStopped: (:) [], UnauthorizedAccessException
+ FullyQualifiedErrorId : UnAuthorized

• 补充：使用abc.com租户的参数时可正常连接，需解决xyz.com租户的授权问题，附xyz.com租户中X-app的权限截图。

排查与解决步骤 #

1. 确认权限类型与管理员同意状态
   客户端凭证流仅支持应用权限，不支持委派权限。检查xyz.com租户中X-app的Exchange权限：

   • 必须是应用类型权限（如Exchange.ManageAsApp、FullAccess应用权限等）
   • 已完成管理员同意（权限列表中需显示"已授予xyz.com"状态）

2. 验证获取的令牌有效性
   解码获取到的$response.access_token，确认以下字段：

   • aud（受众）必须为https://outlook.office365.com
   • roles字段必须包含已授予的Exchange应用权限
     如果令牌中无对应roles，说明权限未正确授予或未完成管理员同意。

3. 修正Connect-ExchangeOnline调用参数

   • 确保-Organization参数使用xyz.com租户的正确域名（优先使用xyz.onmicrosoft.com）
   • 可添加-ExchangeEnvironmentName O365Default参数明确指定Exchange环境：

     Connect-ExchangeOnline -Organization $tenant -AccessToken $response.access_token -ExchangeEnvironmentName O365Default
     

4. 检查服务主体状态
   在xyz.com租户的Azure AD中找到X-app的服务主体，确认其状态为启用，无禁用或限制配置。

5. 使用模块内置的客户端凭证连接方式
   避免手动拼接token请求，直接使用ExchangeOnlineManagement模块的参数简化连接，减少错误：

   $tenantId = "xxxxxxxx-e4d4-4859-abf9-xxxxxxxxxxxx" # xyz.com租户ID
   $clientId = "xxxxxxxx-87e9-49fc-888e-xxxxxxxxxx" # X-app客户端ID
   $clientSecret = ConvertTo-SecureString "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" -AsPlainText -Force
   $cred = New-Object System.Management.Automation.PSCredential($clientId, $clientSecret)
   Connect-ExchangeOnline -Organization "xyz.onmicrosoft.com" -Credential $cred -AppId $clientId -TenantId $tenantId
   

内容的提问来源于stack exchange，提问作者Divyesh Jesadiya