使用PnP PowerShell实现文件共享的Graph最小权限配置

可以实现，不需要授予全SharePoint租户级的Sites.FullControl.All权限，仅用Sites.Selected配合站点/文档库级的精细权限即可满足需求。以下是具体的调整方案和问题排查点：

1. 修正应用权限配置 #

你当前的注册命令仍保留了租户级的Sites.FullControl.All，这违反了最小权限原则，需要移除，仅保留Sites.Selected：

$siteurl = "https://TENANT.sharepoint.com/sites/SITE123"
$tenant = "TENANT.onmicrosoft.com"
$appName = "PnP.PowerShell TENANT"
$certPath = "C:\Users\USER\"
$libraryName = "Documents"

# 仅注册Sites.Selected权限，移除租户级全权限
$result = Register-PnPEntraIDApp -ApplicationName $appName -Tenant $tenant -OutPath $certPath -SharePointApplicationPermissions "Sites.Selected"
Connect-PnPOnline -Url $siteurl -CertificatePath "$($certPath)\$($appName).pfx" -ClientId ($result.'AzureAppId/ClientId') -Tenant $tenant

# 直接授予目标文档库级的Write权限（而非站点FullControl），进一步缩小权限范围
Grant-PnPAzureADAppSitePermission -AppId ($result.'AzureAppId/ClientId') -Permissions Write -DisplayName $appName -Site $siteurl -Scope Library -Library $libraryName

说明：Write权限已覆盖文件上传、共享所需的所有操作，无需更高权限；通过-Scope Library指定仅作用于目标文档库，完全贴合最小权限要求。

2. 排查权限生效问题 #

你之前撤销Sites.FullControl.All后报错，大概率是以下原因：

• 权限未同步：Azure AD到SharePoint的权限变更需要15-30分钟同步，建议等待后再测试。
• 权限验证：用以下命令确认应用的站点/文档库权限是否已正确配置：

Get-PnPAzureADAppSitePermission -AppId $clientId -Site $siteurl

• 命令上下文问题：确保Connect-PnPOnline使用的是正确的应用身份，而非其他权限更高的账户。

3. 优化上传共享代码 #

现有代码可正常运行，可做以下精简优化：

function UploadToSharepoint {
    param (
        [string]$localFilePath,
        [string]$externalUserEmail
    )
    # 变量配置
    $targetFileName = Split-Path $localFilePath -Leaf
    $certPath = "C:\Users\USER\"
    $tenant = "TENANT.onmicrosoft.com"
    $appName = "PnP.PowerShell TENANT"
    $siteurl = "https://TENANT.sharepoint.com/sites/Site123"
    $libraryName = "Documents"
    $expirationDays = 14
    $clientId = "0000-00000-0000000-00000000"

    # 连接SharePoint
    Connect-PnPOnline -Url $siteurl -CertificatePath "$($certPath)\$($appName).pfx" -ClientId $clientId -Tenant $tenant

    # 上传文件并直接获取文件对象，避免重复查询
    $uploadedFile = Add-PnPFile -Path $localFilePath -Folder $libraryName -PassThru
    $fileIdentifier = $uploadedFile.UniqueId.Guid

    # 共享文件
    Add-PnPFileSharingInvite -FileUrl "$libraryName/$targetFileName" -Users $externalUserEmail -Role Read -ExpirationDate (Get-Date).AddDays($expirationDays) -RequireSignIn -Verbose 
    
    # 获取共享链接
    $sharingLink = (Get-PnPFileSharingLink -Identity $fileIdentifier).link
    Write-host $sharingLink.WebUrl

    Disconnect-PnPOnline
}

总结 #

通过以下步骤实现最小权限：

• 仅为应用配置Graph的Sites.Selected权限，移除租户级全权限。
• 为应用授予目标文档库级的Write权限，而非站点级FullControl。
• 等待权限同步完成后测试功能。

内容的提问来源于stack exchange，提问作者itsecharry