如何限制Microsoft Graph服务主体仅以指定账号发送邮件（非交互式）

可行方案概述 #

完全可以实现：通过应用权限+Exchange邮箱权限绑定的组合，既满足无人值守的非交互式认证，又将服务主体的发送权限限定在指定服务账号，遵循最小权限原则。

具体操作步骤 #

1. 保留必要的应用级权限 #

服务主体仍需Mail.Send的Application权限（无人值守场景必须的应用级认证前提），无需额外宽泛权限。

2. 为服务主体分配特定邮箱的发送权限 #

连接Exchange Online，给服务主体授予目标服务账号邮箱的Send As或Send On Behalf Of权限，确保它只能操作该邮箱：

# 连接Exchange Online（非交互式场景可改用服务主体认证方式）
Connect-ExchangeOnline -Device

# 分配Send As权限（收件人看到的发件人是目标服务账号）
Add-RecipientPermission -Identity "target-service-account@yourdomain.com" -Trustee "服务主体的应用ID" -AccessRights SendAs -Confirm:$false

# 若需"代表发送"（收件人显示"XX代表XX发送"），执行此命令
Add-ADPermission -Identity "target-service-account@yourdomain.com" -User "服务主体的应用ID" -ExtendedRights "Send On Behalf"

3. 修改PowerShell脚本，锁定发送账号 #

调用Microsoft Graph API时，明确指定发送邮箱为目标服务账号，示例代码片段：

# 服务主体非交互式获取令牌
$clientId = "你的服务主体应用ID"
$tenantId = "你的租户ID"
$clientSecret = "你的服务主体密钥"

$tokenRequest = @{
    Grant_Type    = "client_credentials"
    Scope         = "https://graph.microsoft.com/.default"
    Client_Id     = $clientId
    Client_Secret = $clientSecret
}

$token = Invoke-RestMethod -Uri "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token" -Method POST -Body $tokenRequest

# 构造邮件并发送，指定From为目标服务账号
$mailBody = @{
    Message = @{
        Subject = "自动化通知"
        Body = @{
            ContentType = "Text"
            Content = "这是限定账号发送的测试邮件"
        }
        ToRecipients = @(
            @{ EmailAddress = @{ Address = "recipient@example.com" } }
        )
        From = @{ EmailAddress = @{ Address = "target-service-account@yourdomain.com" } }
    }
    SaveToSentItems = $true
}

Invoke-RestMethod -Uri "https://graph.microsoft.com/v1.0/users/target-service-account@yourdomain.com/sendMail" `
    -Method POST `
    -Headers @{ Authorization = "Bearer $($token.access_token)" } `
    -Body ($mailBody | ConvertTo-Json -Depth 4)

4. 验证权限限制 #

尝试修改脚本中的From字段为其他用户邮箱，此时Graph API会返回权限错误，确认服务主体无法以其他账号发送邮件。

核心逻辑说明 #

• 应用级权限Mail.Send提供无人值守的认证能力，Exchange的邮箱权限绑定则将操作范围限制在指定账号，实现权限最小化。
• 全程无需交互式登录，完全适配自动化脚本的无人值守需求。

内容的提问来源于stack exchange，提问作者Segfault