如何在PowerShell中通过OAuth认证连接Shared MailBox共享邮箱

核心逻辑 #

你当前使用的用户委托认证流不需要单独为共享邮箱申请令牌，只要使用有共享邮箱访问权限的用户账号获取令牌，认证时指定共享邮箱地址即可完成连接，原有代码仅需要少量修改。

前置校验项 #

• 代码中用于认证的用户账号（$UserName），已经在Exchange管理中心被授予目标共享邮箱的IMAP访问/完全访问权限
• Azure AD应用已配置https://outlook.office365.com/IMAP.AccessAsUser.All委托权限，原有权限配置不需要调整
• 目标共享邮箱未禁用IMAP协议（Office 365默认开启）

具体修改点 #

1. 构造OAuth2认证对象时，用户名参数传入目标共享邮箱的完整邮箱地址，不需要使用令牌返回的当前认证用户UPN，AccessToken直接复用当前用户申请到的有效令牌即可
2. 认证通过后直接操作共享邮箱下的文件夹即可，不需要额外做连接切换
3. 注意原代码存在变量名冲突问题：MSAL配置对象和IMAP连接的SSL配置都用了$Options变量名，容易触发运行错误，连接时直接指定SSL启用状态即可

修改后可直接运行的代码 #

# 基础配置参数
$ClientID = "你的Azure应用Client ID"
$TenantID = "你的租户ID"
$RedirectUri = "你的重定向URI"
$UserName = "有共享邮箱权限的用户账号UPN，例：user@yourdomain.com"
$Pass = "上述用户账号的密码"
$Server = "outlook.office365.com"
$Port = 993
$SharedMailboxAddr = "目标共享邮箱地址，例：shared@yourdomain.com"

# 初始化MSAL客户端配置
$options = [Microsoft.Identity.Client.PublicClientApplicationOptions]::new()
$options.ClientId = $ClientID
$options.TenantId = $TenantID
$options.RedirectUri = $RedirectUri

# 权限范围 原有配置无需修改
$scopes = New-Object System.Collections.Generic.List[string]
$scopes.Add("https://outlook.office365.com/IMAP.AccessAsUser.All")

$securePass = ConvertTo-SecureString $Pass -AsPlainText -Force
$PublicClientApplication = [Microsoft.Identity.Client.PublicClientApplicationBuilder]::CreateWithApplicationOptions($options).Build()

# 获取认证用户令牌，逻辑和连接个人邮箱完全一致
$AuthToken = $PublicClientApplication.AcquireTokenByUsernamePassword($scopes, $UserName, $securePass).ExecuteAsync() | Wait-Task   

# 关键修改：构造认证凭证时，用户名传入共享邮箱地址，AccessToken复用已获取的用户令牌
$oAuth2 = [MailKit.Security.SaslMechanismOAuth2]::new($SharedMailboxAddr, $authToken.AccessToken)

# 初始化IMAP客户端
$client = [MailKit.Net.Imap.ImapClient]::new()  
# 建立加密连接
$client.ConnectAsync($Server, $Port, $true) | Wait-Task | Out-Null
# 完成认证
$client.AuthenticateAsync($oAuth2) | Wait-Task | Out-Null

# 认证后可直接操作共享邮箱文件夹，示例：读取收件箱邮件总数
$inbox = $client.Inbox
$inbox.OpenAsync([MailKit.FolderAccess.ReadOnly]) | Wait-Task
Write-Host "共享邮箱收件箱共有 $($inbox.Count) 封邮件"

常见问题排查 #

• 如果认证报错权限不足，先确认授权用户的共享邮箱权限配置是否正确，Exchange权限生效通常有15-30分钟的延迟
• 如果报令牌无效，检查申请令牌的scope配置是否正确，仅需要委托权限即可，不需要额外配置应用权限
• 不要尝试直接用共享邮箱本身的账号密码走用户名密码流认证，共享邮箱默认是禁用状态的账号，无法直接登录获取令牌

内容的提问来源于stack exchange，提问作者YonYon