Office 365 Exchange Online IMAP及Graph API客户端凭据认证问题

核心问题定位 #

你的IMAP认证失败和Graph API ResourceNotFound错误，大概率是因为目标邮箱未在应用注册的Azure AD租户中，或是跨租户操作时权限配置未对齐导致。应用级权限（如IMAP.AccessAsApp、Mail.ReadWrite）要求目标邮箱对应的用户必须存在于应用所在的Azure AD租户，或已通过跨租户同步完成关联。

分步修复方案 #

1. 统一租户操作账号 #

停止使用两个不同账号分别操作Azure AD和Exchange Online，请使用目标邮箱所属租户的全局管理员/Exchange管理员账号完成所有配置：

# 安装并更新必要模块
Install-Module -Name ExchangeOnlineManagement -Force
Install-Module -Name AzureAD -Force

Import-Module ExchangeOnlineManagement
Import-Module AzureAD

# 连接到目标邮箱所在租户
Connect-AzureAD -Tenant <目标邮箱租户ID>
Connect-ExchangeOnline -Organization <目标邮箱租户ID>

# 获取应用服务主体（确保搜索的是当前租户内注册的应用）
$app = Get-AzureADApplication -SearchString 'testimap'
$sp = Get-AzureADServicePrincipal -Filter "appId eq '$($app.AppId)'"

# 在Exchange Online中创建关联服务主体（若未存在）
if (-not (Get-ServicePrincipal -Identity $sp.ObjectId -ErrorAction SilentlyContinue)) {
    New-ServicePrincipal -AppId $app.AppId -ServiceId $sp.ObjectId -DisplayName "Exchange SP for $($app.DisplayName)"
}

# 为目标邮箱添加完整访问权限
Add-MailboxPermission -Identity "test@mail.com" -User $sp.ObjectId -AccessRights FullAccess -InheritanceType All

2. 验证Graph API访问异常 #

ResourceNotFound错误的常见修复点：

• 确认目标用户ID是Azure AD对象ID，而非Exchange邮箱GUID；
• 若为跨租户场景，需在目标租户的Azure AD中配置跨租户访问设置，允许外部应用访问Exchange资源；
• 检查Mail.ReadWrite权限是否已在目标租户中授予管理员同意，而非仅在应用所在租户配置。

3. 修正MailKit IMAP连接配置 #

确保AccessToken是针对目标邮箱租户获取的，且使用正确的OAuth2范围：

using MailKit.Net.Imap;
using MailKit.Security;
using Microsoft.Identity.Client;

var clientId = "你的应用ID";
var clientSecret = "你的应用密钥";
var tenantId = "目标邮箱租户ID";
var mailbox = "test@mail.com";

var app = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithTenantId(tenantId)
    .Build();

// 必须使用Exchange Online的默认范围
var scopes = new[] { "https://outlook.office365.com/.default" };
var tokenResult = await app.AcquireTokenForClient(scopes).ExecuteAsync();

using var imapClient = new ImapClient();
await imapClient.Connect("outlook.office365.com", 993, SecureSocketOptions.SslOnConnect);
// OAuth2认证需指定邮箱地址
await imapClient.AuthenticateAsync(mailbox, tokenResult.AccessToken, SaslMechanism.OAuth2);

4. 权限生效验证 #

执行以下命令确认配置正确：

# 检查Exchange服务主体是否存在
Get-ServicePrincipal -Identity $sp.ObjectId

# 检查邮箱权限是否添加成功
Get-MailboxPermission -Identity "test@mail.com" | Where-Object {$_.User -eq $sp.ObjectId}

内容的提问来源于stack exchange，提问作者PsyChonek