如何从第三方应用低交互创建Microsoft Teams会议？

1. 刷新令牌获取用户令牌的可行性与误区 #

可以通过刷新令牌获取具备权限的用户令牌，但有明确前提：

• 必须先完成用户首次授权：用户至少需要登录一次并同意Calendars.ReadWrite权限，此时会返回refresh_token。后续可使用该refresh_token静默请求新的access_token，无需再次弹出登录窗口。
• 你之前的误区是混淆了应用权限和委托权限：用应用ID静默登录属于应用权限（进程上下文），这种方式下应用以自身身份访问资源，需要管理员全局同意，且无法代表当前用户操作；而你需要的是委托权限（用户上下文），必须基于用户的授权操作，刷新令牌只能在用户已授权的前提下使用，无法凭空获取未授权用户的令牌。

使用Connect-Graph时，首次授权后模块会自动缓存refresh_token，后续调用会自动刷新令牌，无需手动处理。

2. PowerShell方案对比：每日登录vs令牌导出 #

• 优先选择Connect-Graph而非手动导出令牌：
  • Connect-Graph会自动管理令牌生命周期，用户首次登录授权后，后续后台运行时会自动用缓存的refresh_token刷新access_token，不需要每日让用户登录（除非refresh_token过期，默认有效期可达数月）。
  • 手动复制access_token的方式局限性极大：access_token仅有效期1小时，过期后需重新获取，无法支持长期后台运行。
• 后台运行实现方式：用户首次运行时执行Connect-Graph -Scopes "Calendars.ReadWrite"完成授权，之后的后台脚本直接调用New-MgUserEvent即可，模块会自动处理令牌刷新逻辑。

3. 限制应用仅访问特定日历 #

目前Microsoft Graph权限体系中的规则：

• 委托权限（用户身份）：Calendars.ReadWrite权限会授予应用访问用户所有日历的权限，无法从权限层面限制到单个日历。但可以通过代码逻辑控制：创建会议时指定目标日历的ID，而非默认日历，示例代码如下：

# 获取目标日历的ID
$targetCalendar = Get-MgUserCalendar -UserId "me" -Filter "DisplayName eq '目标日历名称'"
# 在指定日历中创建Teams会议
New-MgUserEvent -UserId "me" -CalendarId $targetCalendar.Id `
  -Subject "Teams会议" `
  -BodyContentType "HTML" -Body "会议内容描述" `
  -Start @{DateTime="2024-05-20T10:00:00";TimeZone="UTC"} `
  -End @{DateTime="2024-05-20T11:00:00";TimeZone="UTC"} `
  -IsOnlineMeeting $true

• 应用权限（进程上下文）：可以通过应用角色分配或使用Calendars.ReadWrite.Calendar权限（仅针对单个日历），但这种方式需要管理员配置，且是应用身份操作，无法代表当前用户。如果你的场景必须基于用户身份，只能通过代码逻辑限制操作范围。

内容的提问来源于stack exchange，提问作者der busse