基于EWS的Windows服务OAuth认证：客户需执行哪些操作？

作为服务多个Office 365客户的开发者，你遇到的这个问题很典型——我来帮你理清楚客户需要做的具体操作，以及为什么你的应用不会自动出现在他们的全局目录里：

核心结论：客户必须在自己的租户中配置你的应用 #

你的Windows Service要访问客户的Exchange日历，客户的全局/Exchange管理员必须在他们自己的Office 365租户中完成应用授权或注册操作，因为OAuth的权限模型是租户级别的，你的应用不会自动被所有租户信任。

客户需要执行的具体步骤 #

根据你的应用注册类型（多租户/单租户），操作略有不同：

情况1：你的应用是多租户应用（Azure AD注册时选了「任何组织目录中的账户」） #

这种情况下，客户管理员有两种便捷方式授权：

• 一键授权链接：你可以构造一个OAuth授权URL，发给客户的全局管理员。他们用管理员账号登录后，就能直接同意应用请求的权限。URL格式大概是：

  https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=你的应用ID&response_type=code&redirect_uri=你的回调地址&scope=EWS.AccessAsUser.All offline_access
  

  （如果是后台服务用应用权限，把scope换成full_access_as_app）
• 手动添加企业应用：客户管理员可以在自己的Azure AD门户中，进入「企业应用」→「添加应用」→「从Azure AD库中搜索」。不过注意：你的应用默认不会出现在这个库里，除非你把它提交到Azure AD应用库并通过微软审核。所以还是一键授权链接更直接。

情况2：你的应用是单租户应用（仅允许自己租户的账户访问） #

这种情况下，每个客户都需要在他们自己的Azure AD租户中重新注册一个应用：

1. 登录Azure AD门户，注册新的应用程序
2. 配置相同的API权限（比如EWS.AccessAsUser.All或full_access_as_app）
3. 授予管理员同意
4. 把新的应用ID、租户ID、客户端密钥等信息提供给你，你需要在服务中支持多租户的配置切换

关键权限配置注意事项 #

根据你的服务模式，权限类型选择不同：

• 后台服务（无用户交互）：必须用应用权限（full_access_as_app），这种权限需要客户管理员同意，并且还需要在Exchange Online中配置访问策略（用PowerShell），比如限制应用只能访问特定用户的日历：

  New-ApplicationAccessPolicy -AppId 你的应用ID -PolicyScopeGroupId 允许访问的用户组ID -AccessRight RestrictAccess -Description "限制应用访问指定用户组日历"
  

  如果要允许访问所有用户，把AccessRight改成AllowAccess即可。
• 模拟用户访问（需要用户授权）：用委派权限（EWS.AccessAsUser.All），可以让用户自己授权，或者管理员批量给组织内用户授权。

为什么你的应用不会出现在客户的全局目录里？ #

默认情况下，你在自己Azure AD租户注册的多租户应用，不会自动同步到客户的租户目录或Azure AD应用库。只有两种方式能让它出现在客户的可搜索列表里：

1. 你把应用提交到Azure AD应用库，通过微软的审核后，客户就能搜索到它
2. 你给客户发送应用邀请链接，客户接受后，应用会出现在他们的企业应用列表中

否则，客户只能通过前面说的一键授权链接或手动注册的方式来配置。

最后，建议你给客户准备一份简洁的操作手册，包含你的应用ID、授权链接、必要的PowerShell命令（如果用应用权限），以及权限用途的说明，这样客户的管理员能快速完成配置。

内容的提问来源于stack exchange，提问作者Nicholas Kellner