多租户应用通过委托权限连接Exchange Online PowerShell v3遇授权异常求助

1. 验证访问令牌的有效性与范围 #

• 用Get-MsalToken或JWT解析工具检查令牌的scp声明，确认包含Exchange.Manage；同时验证aud声明为Exchange Online的受众https://outlook.office365.com。
• 确认令牌是通过委托流获取，包含upn/oid等用户标识声明，且与传入的UserPrincipalName完全匹配。

2. 检查应用权限配置 #

• 确保Azure AD应用的Exchange.Manage委托权限已完成授权（多租户场景下需目标租户管理员完成管理员同意，或用户完成自助同意，具体取决于租户设置），而非仅添加权限未授权。
• 确认权限类型为委托权限，而非应用权限（应用权限无需用户上下文，与你的委托流场景不匹配）。

3. 修正PowerShell连接参数 #

• 使用v3.x版本Connect-ExchangeOnline的正确语法，结合-AccessToken和-UserPrincipalName时，避免交互冲突，示例命令：

Connect-ExchangeOnline -AccessToken $accessToken -UserPrincipalName "user@contoso.com" -ShowBanner:$false

• 多租户场景下可显式指定-ExchangeEnvironmentName O365Default，确保连接到正确的Exchange环境。

4. 排查用户与租户权限限制 #

• 确认登录用户在目标租户中拥有Exchange Online的对应操作权限（如邮箱管理员、全局管理员等），Exchange.Manage仅授权应用代表用户操作，用户本身需具备Exchange资源的访问权限。
• 检查目标租户是否启用了第三方应用访问限制策略，确保你的多租户应用被允许访问该租户的Exchange资源。

5. 模块版本与兼容性排查 #

• 尝试升级到最新稳定版的Exchange Online PowerShell模块，旧版本可能存在委托流令牌验证的bug，升级命令：

Install-Module -Name ExchangeOnlineManagement -Force -AllowClobber

• 确认模块安装完整，无文件损坏情况。

内容的提问来源于stack exchange，提问作者Agyss