如何使用Exchange Web Services(EWS)判断Office 365用户是否为管理员

核心实现逻辑 #

利用EWS中仅管理员有权限调用的接口做权限校验：GetOrganizationConfiguration是EWS提供的获取租户全局组织配置的接口，只有全局管理员、Exchange管理员等租户级管理角色有权限调用该接口，普通用户调用会返回403无权限错误，以此可直接判断目标用户的管理员身份。

前置要求 #

• 已完成EWS OAuth认证，持有合法的访问令牌
• 应用已申请EWS对应权限：委派权限场景需持有EWS.AccessAsUser.All权限，应用权限场景需持有full_access_as_app权限并开启用户模拟

实现代码示例（C# EWS托管API） #

using Microsoft.Exchange.WebServices.Data;

// 初始化EWS客户端
ExchangeService ewsClient = new ExchangeService(ExchangeVersion.Exchange2016);
ewsClient.Url = new Uri("https://outlook.office365.com/EWS/Exchange.asmx");
// 填入已获取的OAuth访问令牌
ewsClient.Credentials = new OAuthCredentials("your_oauth_access_token");

// 应用权限场景需先模拟目标用户，委派权限场景无需此步骤
// ewsClient.ImpersonatedUserId = new ImpersonatedUserId(ConnectingIdType.SmtpAddress, "target_user@contoso.com");

bool isTargetUserAdmin = false;
try
{
    // 尝试调用仅管理员可访问的组织配置接口
    ewsClient.GetOrganizationConfiguration(new OrganizationConfigurationProperties[] { OrganizationConfigurationProperty.All });
    isTargetUserAdmin = true;
}
catch (ServiceResponseException ex)
{
    if (ex.ErrorCode == ServiceError.ErrorAccessDenied)
    {
        isTargetUserAdmin = false;
    }
    // 其他异常如网络错误、令牌失效等可按需额外处理
}

补充说明 #

• 如果需要更精细化的管理员角色判断，可以配合ResolveName操作获取用户的安全组成员扩展属性，匹配租户内置管理员组的SID即可区分不同类型的管理员角色。
• 该方案完全基于EWS原生能力实现，无需依赖Microsoft Graph接口。

内容的提问来源于stack exchange，提问作者Rupesh Shinde