如何限制SharePoint的Graph API应用仅访问指定用户/组/文件夹

你对/authorize、/adminconsent端点需要用户交互、无法适配cron触发的无头守护进程场景的判断无误，你之前选用的OAuth 2.0客户端凭据流（2-legged Auth）本身就是微软官方为这类无登录用户的后台服务场景设计的授权模式，选型基础没有问题。

首选推荐方案：使用Sites.Selected权限实现细粒度访问控制（完全不需要ROPC） #

你现在遇到的全租户访问权限过大的问题，根源是直接配置了File.Read.All这类租户级应用权限，微软已经为这类场景提供了原生的最小权限支持，不需要创建虚拟用户、不需要使用有安全风险的ROPC流：

• 第一步：修改应用注册的权限配置，删除现有的File.Read.All应用权限，替换为**Sites.Selected**应用级权限，完成管理员同意授予。该权限默认不授予任何SharePoint/OneDrive站点的访问权，不存在越权访问全租户内容的风险。
• 第二步：针对你需要同步的目标SharePoint团队站点，单独为你的应用授予访问权限：
  • 可以直接由目标站点的所有者进入站点的「高级权限设置」，通过应用ID搜索到你注册的守护进程应用，为其分配文档库的读取（或按需分配编辑）权限即可
  • 也可以通过Graph API的站点权限接口批量/脚本化完成授权，适合自动化部署场景
• 授权完成后，你不需要修改现有授权逻辑，仍然使用原来的客户端凭据流调用/tenant/token端点获取Bearer令牌即可，此时令牌仅能访问你单独授权过的指定站点文档库，完全无法访问租户内其他SharePoint站点、其他用户的OneDrive内容，符合最小权限安全最佳实践。

该方案本质就是微软官方提供的针对应用身份的站点级ACL控制，是目前后台服务访问指定SharePoint内容的首选合规方案，不存在协议层面的安全风险。

关于ROPC流的相关说明（非必要不推荐使用） #

ROPC（资源所有者密码凭据流）由于本身存在不支持MFA、需要直接传递用户明文密码、不符合现代零信任安全要求等缺陷，微软官方仅建议将其用于无法改造的遗留兼容场景，新开发的服务不推荐使用。如果因特殊限制必须使用该方案，相关配置要求如下：

• AD侧权限配置：
  • 不需要为专用虚拟用户分配任何租户级管理员权限，仅需要将该用户加入目标SharePoint团队站点的对应权限组，授予文档库的读取权限即可
  • 需要针对该虚拟用户豁免MFA要求、豁免要求交互式登录的条件访问策略，同时配置强随机密码、设置密码永不过期，避免cron定时任务因密码过期、策略校验失败中断
• 令牌请求参数说明：
  你提到的参数不全，完整必填参数包括：
  • tenant_id：目标租户ID
  • client_id：应用注册的客户端ID
  • client_secret：如果你的应用注册为机密客户端，需要携带客户端密钥；公共客户端场景可省略
  • username：虚拟用户的UPN（登录用户名）
  • password：虚拟用户的登录密码
  • grant_type：固定值为password
  • scope：固定值为https://graph.microsoft.com/.default
• 注意：即使你为虚拟用户做了单站点权限限制，该方案的安全水位仍然远低于Sites.Selected方案，虚拟用户的凭据存在被窃取后滥用的风险，非万不得已不要选用。

内容的提问来源于stack exchange，提问作者Dr.YSG