能否将Microsoft Graph应用权限限定到特定对象？

核心结论 #

目前没有直接的官方机制可以对DeviceManagementConfiguration.ReadWrite.All或Sites.FullControl.All这类全范围应用权限做对象级的访问限制——管理单元确实不支持这类权限的范围限定，微软官方也未提供对应实现方法。

可行替代方案 #

1. 切换为细粒度权限（优先推荐）

• 站点权限场景：放弃Sites.FullControl.All，改用Sites.Selected应用权限。这个权限专门用来让应用仅访问指定的站点：
  • 先在Azure AD里给应用添加Sites.Selected权限；
  • 调用Graph API的POST /sites/{site-id}/permissions接口，给应用分配目标站点的具体权限（比如完全控制）。
• 设备管理配置场景：目前没有对应的细粒度应用权限，只能考虑其他方案。

2. 租户级资源隔离（适合多独立公司场景）

如果租户内各公司业务完全独立，最稳妥的方式是把不同公司的资源拆分到独立的Azure AD或Microsoft 365租户中。这种架构能从根源上实现资源隔离，每个租户的应用权限仅作用于本租户资源，彻底避免跨公司访问风险。

3. 应用层自定义校验（临时 workaround）

如果以上方案都没法落地，只能在应用内部加自定义校验逻辑：

• 每次调用Graph API前，先检查目标对象（比如站点归属的公司、设备配置所属的业务单元）是否在允许访问的范围内；
• 只对合规对象发起请求，不符合的直接返回权限错误。
• 注意：这是应用层的控制，不是底层权限限制，必须严格把控代码安全，防止被绕过。

内容的提问来源于stack exchange，提问作者Theragus