使用Azure客户端应用与Microsoft Graph SDK更新共享邮箱邮件遇权限问题求助

问题场景 #

使用Microsoft Graph SDK（基于Azure应用凭据ClientId、TenantId、Secret）更新共享邮箱中邮件分类时触发"Access Denied"错误，管理员禁止使用应用级别的Mail.ReadWrite权限（该权限允许修改所有邮箱），需明确符合需求的权限配置。

相关代码示例 #

创建Graph Service Client #

var handlers = GraphClientFactory.CreateDefaultHandlers(new DelegateAuthenticationProvider(async msg =>
{
    var accessToken = await GetAccessTokenFromCacheOrRefresh(cancellationToken);
    msg.Headers.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
}));

handlers.Add(_graphLoggingHandler);

var httpClient = GraphClientFactory.Create(handlers);
_graphServiceClient = new GraphServiceClient(httpClient);

更新邮件分类的代码 #

var updatedMessage = new Message();
updatedMessage.Categories = CreateMessageCategories();
await _graphServiceClient.Users[emailAddress].Messages[emailId]
    .Request()
    .UpdateAsync(updatedMessage, cancellationToken);

解决方案 #

你需要配置应用级别的Mail.ReadWrite.Shared权限：

• 该权限仅允许应用访问和修改共享邮箱中的邮件，权限范围远小于覆盖所有邮箱的Mail.ReadWrite，符合管理员的权限限制要求。
• 配置完成后需要租户管理员完成权限的同意操作。
• 现有代码无需修改，Users[共享邮箱地址]的调用方式完全支持该权限下的操作。

内容的提问来源于stack exchange，提问作者ilitirit