基于Azure AD认证的无人值守应用发邮件方案咨询

针对你的需求，推荐采用客户端凭据流+单邮箱委托权限的方案，完美解决无交互、限制单邮箱发件的问题：

核心思路 #

放弃全局的Smtp.SendAsApp权限，改用针对单个目标邮箱的应用级SendAs委托权限，结合客户端凭据流实现无交互认证，既满足OAuth2要求，又严格限制发件身份。

具体步骤 #

1. Azure AD应用配置

   • 保留原有的Azure AD注册应用（采用客户端凭据流），仅向管理员申请Mail.Send的应用权限（不要申请Smtp.SendAsApp）。
   • 确保应用仅拥有必要的权限范围，避免获得全局发件能力。

2. 管理员配置邮箱委托权限

   • 管理员通过Exchange Online PowerShell，给指定的发件邮箱添加应用的SendAs权限，命令示例：

     Add-RecipientPermission -Identity "指定发件邮箱@公司域名.com" -Trustee "Azure应用的Object ID" -AccessRights SendAs -Confirm:$false
     

   • 此操作仅允许该应用以这个特定邮箱发件，无法冒充其他账号。

3. 应用发件实现

   • 应用通过Client ID和Client Secret获取OAuth2令牌（遵循客户端凭据流流程）。
   • 调用邮件API（比如Microsoft Graph的/me/sendMail或SMTP OAuth）时，明确指定发件人为目标邮箱地址，确保权限匹配。

方案优势 #

• 无用户交互：客户端凭据流全程无需人工登录，适配无人值守场景。
• 权限严格限制：没有全局发件权限，开发人员无法用应用冒充任意员工邮箱，仅能使用指定的发件账号。
• 符合管理员要求：完全基于OAuth2认证，满足企业安全规范。

内容的提问来源于stack exchange，提问作者Vaccano