使用Microsoft Graph从Azure AD noreply用户发邮件遇403错误求助

问题场景 #

拥有Azure AD应用程序和名为noreply的用户，尝试通过Microsoft Graph发送密码重置类自动化邮件，代码实现如下，但运行时出现403 ODataError。已配置/.default scope，且在应用中启用并同意了Mail.Send的委托权限和应用权限。

string scope = _configuration["AzureAd:Scope"];
string[] scopes = { scope };
var tenantId = _configuration["AzureAd:TenantId"];
var clientId = _configuration["AzureAd:ClientId"];
var clientSecret = _configuration["AzureAd:ClientSecret"];
var options = new TokenCredentialOptions
{
      AuthorityHost = AzureAuthorityHosts.AzurePublicCloud
};

var clientSecretCredential = new ClientSecretCredential(tenantId, clientId, clientSecret, options);

var graphClient = new GraphServiceClient(clientSecretCredential, scopes);

var requestBody = new SendMailPostRequestBody
                {
                    Message = new Message
                    {
                        Subject = "Reset Password",
                        Body = new ItemBody
                        {
                            ContentType = BodyType.Html,
                            Content = rendered
                        },
                        ToRecipients = new List<Recipient>
                        {
                            new Recipient { EmailAddress = new EmailAddress { Address = messageDto.Email } }
                        },
                        From = new Recipient { EmailAddress = new EmailAddress { Address = "noreply@myemailaddress" } }
                    }
                };

await graphClient.Users["ObjectId"].SendMail.PostAsync(requestBody);

解决方案 #

• 匹配权限类型与调用方式：你使用的是ClientSecretCredential（应用权限流），无需配置委托权限。移除Mail.Send的委托权限，仅保留应用权限的Mail.Send，且确保全局管理员已完成管理员同意操作。
• 修正From字段：应用权限流中，From地址必须是Azure AD中已存在的有效用户邮箱（即noreply用户的真实邮箱），不能填写未关联的自定义地址。将代码中From的地址替换为noreply用户的实际邮箱，并确认该用户邮箱已在Azure AD和Exchange Online中激活。
• 验证API调用路径：代码中graphClient.Users["ObjectId"]的ObjectId必须是noreply用户的真实ObjectId，也可直接使用该用户的邮箱地址（如graphClient.Users["noreply@yourdomain.com"]），确保调用的是正确用户的发送邮件接口。
• 检查权限范围状态：通过Azure门户查看应用的「API权限」页面，确认Mail.Send（应用权限）的状态为「已授予」，/.default scope会自动包含所有已同意的应用权限。
• 排查Exchange限制：若以上操作无效，检查Exchange Online是否对noreply用户设置了发送限制（比如禁止发送外部邮件），需在Exchange Admin Center中调整该用户的邮件发送权限。

内容的提问来源于stack exchange，提问作者Liam Kenny