Exchange API Azure - 邮箱访问（'full_access_as_app' 是一个主要问题，如何将范围限定到特定邮箱）答案

【问题标题】：Exchange API Azure - Mailbox access ('full_access_as_app' is a major problem, how to scope to specific mailboxes)Exchange API Azure - 邮箱访问（'full_access_as_app' 是一个主要问题，如何将范围限定到特定邮箱）
【发布时间】：2025-12-12 10:55:02
【问题描述】：

我目前正在通过 OAuth 访问令牌访问 Exchange API。

但是我必须选择 'full_access_as_app 使用具有所有邮箱完全访问权限的 Exchange Web 服务'

在这种情况下是否可以限制邮箱的范围？

【问题讨论】：

标签： azure azure-active-directory exchangewebservices azure-api-apps

【解决方案1】：

您可以切换到 MS Graph 并使用 Application Access Policies，它允许您限制对特定邮箱集的访问或不访问。

【讨论】：

Exchange Online 目前不支持 EWS 的 full_access_as_app 范围的 ApplicationAccessPolicies。
@Alfredo - 我们面临的问题是：应用程序访问策略仅适用于“Graph API”而不适用于“Exchange API”
@Sivaprakash -MSFT：没有其他方法可以控制应用程序可以访问的特定邮箱吗？考虑到，“full_access_as_app”似乎是我们客户的主要问题

【解决方案2】：

从 21 年 2 月 2 日起，这不再是 EWS 的限制。根据this 公告，应用程序访问策略现在可以与基于 EWS API OAuth 的应用程序访问结合使用。

使用应用程序访问策略，EWS 管理员现在可以通过指定包含或排除列表来限制应用程序对特定邮箱集的访问。想要限制第三方应用程序访问特定邮箱集的管理员可以使用New-ApplicationAccessPolicy PowerShell cmdlet 来配置访问控制。有关应用程序访问策略的更多信息，请参阅Scoping application permissions to specific Exchange Online mailboxes。

【讨论】：