Azure应用权限为何权限过高？如何实现SharePoint最小权限访问

为什么会有Files.Read.All这种高权限？ #

微软的Azure AD权限体系是为覆盖各类应用场景设计的：

• 部分企业级应用（比如全组织文件备份、合规审计工具）确实需要访问所有站点的文件，因此提供了Files.Read.All这类全局应用权限。
• 文档优先推荐该权限，是因为它配置简单、能快速实现全量访问，但这并非唯一选项，只是没重点强调细粒度权限的配置路径。

更符合最小权限原则的替代方案 #

方案1：使用Sites.Selected应用权限 + 站点授权 #

这是AWS Lambda这类后台服务最适配的方式：

1. 在Azure AD应用注册页面添加Sites.Selected应用权限（属于Microsoft Graph权限范畴），并完成管理员同意。
2. 通过Microsoft Graph API给目标SharePoint站点授予权限：
   • 调用POST /sites/{site-id}/permissions接口，指定你的Azure应用ID，分配read角色（对应文件只读访问权限）。
     配置完成后，应用仅能访问该授权站点，完全贴合最小权限原则。

方案2：直接在SharePoint站点绑定应用权限 #

如果不想通过Graph API操作，也可以直接在SharePoint后台配置：

• 打开目标SharePoint站点的高级权限设置，进入应用权限页面。
• 搜索你在Azure AD注册的应用名称，为它分配读取权限（对应站点内文件的只读访问）。
• 这种方式无需在Azure AD添加全局权限，直接给站点绑定应用权限，配置更直观。

注意：委派权限的局限性 #

Files.Read这类委派权限虽然是站点级，但它依赖用户上下文（需模拟某用户访问），而AWS Lambda作为无服务器后台服务，通常没有固定用户会话，因此不适合无人值守的场景。

内容的提问来源于stack exchange，提问作者Zong Wei