如何实现无浏览器且无用户交互的ExchangeOnline自动化连接？

要实现完全无浏览器、无用户交互的Exchange Online自动化连接，最可靠的方案是使用Azure AD服务主体（Service Principal）——这也是微软官方推荐的自动化场景身份验证方式，完美避开用户MFA和交互输入的问题。

为什么不推荐用户身份的非交互验证？ #

你之前尝试的-Credential和-InlineCredential都是针对用户身份的验证方式，但这类方式在用户启用MFA时根本无法实现非交互；就算用户没开MFA，微软也已经逐步淘汰了基本认证（非MFA的用户名密码验证），安全性和合规性都得不到保障，所以不建议再走这条路。

服务主体方案的具体步骤 #

1. 在Azure AD中创建并配置服务主体

• 登录Azure门户，进入「Azure Active Directory」→「应用注册」，点击「新注册」
• 填写应用名称（比如“Exchange自动化服务”），选择「仅限此组织目录中的帐户」，重定向URI可以留空（因为是后台运行的应用）
• 注册完成后，记下应用程序(客户端)ID和目录(租户)ID，之后要用到
• 创建凭据：
  • 方式一（推荐更安全的证书）：在应用的「证书和密码」→「证书」→「上传证书」，上传你的SSL证书（需要是可导出的PFX格式，且安装在运行脚本的机器的本地计算机证书存储中），记下证书的指纹（去掉空格）
  • 方式二（客户端密钥）：在「证书和密码」→「客户端密码」→「新客户端密码」，设置过期时间，保存生成的密码值（一定要立刻记下来，之后无法再查看）
• 分配Exchange Online权限：
  • 进入应用的「API权限」→「添加权限」→选择「Exchange」→「应用权限」
  • 根据你的需求添加对应的权限（比如Exchange.ManageAsApp是常用的全管理权限，按需选择最小权限即可）
  • 点击「授予管理员同意」（需要全局管理员权限完成这一步）

2. 使用服务主体连接Exchange Online

根据你选择的凭据方式，用对应的PowerShell命令连接：

方式一：使用证书连接

$appId = "你的应用客户端ID"
$tenantDomain = "yourdomain.onmicrosoft.com" # 也可以直接用租户ID
$certThumbprint = "你的证书指纹（无空格）"

Connect-ExchangeOnline -AppId $appId -Organization $tenantDomain -CertificateThumbprint $certThumbprint

方式二：使用客户端密钥连接

$appId = "你的应用客户端ID"
$tenantDomain = "yourdomain.onmicrosoft.com"
$appSecret = ConvertTo-SecureString "你的客户端密钥值" -AsPlainText -Force

Connect-ExchangeOnline -AppId $appId -Organization $tenantDomain -AppSecret $appSecret

注意事项 #

• 服务主体的权限要遵循「最小权限原则」，只分配完成任务必需的权限，避免过度授权带来的安全风险
• 如果是在服务器上运行脚本，证书需要安装在「本地计算机」的证书存储中，而不是当前用户的存储
• 这种方式完全不需要浏览器，也没有任何用户交互，适合定时任务、自动化脚本等场景

备注：内容来源于stack exchange，提问作者lit