使用全权限service account创建Cloud Flow的连接复用风险及防护问询

场景背景 #

我们使用拥有SharePoint站点完全权限（已配置为站点集管理员）的服务账号创建了一个Cloud Flow，流程执行逻辑如下：

• 用户在自定义列表中新建条目，指定经理字段后保存表单
• 条目创建后流程自动触发，打破条目权限继承，赋予创建者只读权限、经理编辑（Contribute）权限

核心问题与解答 #

1. 只读权限用户能否复用服务账号连接修改条目？ #

该场景可行，你的担忧具备合理性。
如果用户拥有Power Automate的Flow创建权限，且能访问到该服务账号创建的SharePoint连接，就可以新建Flow并选择该连接执行操作——此时操作的权限基于连接所用的服务账号（站点集管理员权限），而非当前用户的只读权限，因此可以修改目标条目，甚至操作整个站点的内容。

2. 安全防护方案 #

针对这个风险，可从以下几个维度进行防护：

• 限制连接的使用权限
  进入Power Automate的连接管理页面，找到该服务账号创建的SharePoint连接，在连接详情中配置连接权限，仅允许指定的用户/安全组使用该连接（比如仅允许流程维护人员），避免普通用户复用。
• 替换为托管标识连接
  将Cloud Flow的身份验证方式改为托管标识，托管标识的权限绑定到Flow本身，其他用户无法直接复用该身份创建新Flow，仅能通过触发现有Flow的方式执行操作，权限范围完全受你控制。
• 收紧Power Automate用户权限
  在Power Platform管理中心，针对目标环境限制普通用户的Flow创建权限，仅允许授权用户创建、编辑Flow，从源头阻止未授权用户新建恶意Flow。
• 为服务账号配置最小权限
  降低服务账号的权限范围，从站点集管理员调整为仅满足Flow需求的最小权限（比如仅目标列表的编辑权限），即便连接被滥用，影响范围也会被限制。
• 启用DLP策略
  创建数据丢失防护（DLP）策略，限制高权限连接与敏感数据源的交互，或直接禁止普通用户使用该类高权限连接。

3. 连接复用担忧的合理性 #

该担忧完全合理。默认情况下，Power Automate的共享连接对环境内拥有Flow创建权限的所有用户可见，任何用户都可在自己的Flow中选择这些连接，以连接所属账号的权限执行操作。这是共享环境下的默认行为，必须通过额外的权限配置来规避风险。

内容的提问来源于stack exchange，提问作者John John