在守护程序应用中使用 MS Graph 需要 Azure AD 中的应用程序类型权限答案

【问题标题】：Using MS Graph in daemon apps requires Application type permissions in Azure AD在守护程序应用中使用 MS Graph 需要 Azure AD 中的应用程序类型权限
【发布时间】：2021-06-30 13:26:57
【问题描述】：

examples from here 需要应用程序类型权限，这意味着此类应用程序将有权访问租户中的所有邮箱。这基本上意味着它不能只是任何租户，因为在正常情况下，访问所有邮箱是禁止的。

也就是说，它似乎只适用于专门处理某些邮件的租户，并且不包含任何普通个人的邮件。

问题：是否有任何方法可以运行只为应用程序配置委派权限的守护程序？这似乎可以解决困境。

【问题讨论】：

据我所知，您可以在 Exchange Online 中限制守护程序应用程序的权限：docs.microsoft.com/en-us/graph/auth-limit-mailbox-access。委派权限也是可能的，但需要用户特定的设置、处理刷新令牌，并且可能需要用户同意再次访问。首先检查是否可以在您的情况下使用应用程序访问策略:)
@juunas，非常感谢！运行 New-ApplicationAccessPolicy 命令将只能访问一个邮箱。这绝对是一个选项，尽管我更喜欢“默认情况下拒绝一切”，而不是在这种情况下“允许一切，拒绝是可选的”。 “特定于用户的设置、处理刷新令牌等”怎么样？也许您能提供更多详细信息吗？
我添加了一个包含一些细节的答案:)

标签： .net-core azure-active-directory microsoft-graph-api daemon

【解决方案1】：

一种方法是在 Exchange Online 中使用应用程序访问策略限制守护程序应用程序的权限：https://docs.microsoft.com/en-us/graph/auth-limit-mailbox-access。

另一种更复杂的方法是通过刷新令牌使用委托权限。其过程如下所示：

想要授予应用访问权限以从其邮箱发送电子邮件的用户登录应用（您需要某种前端）
应用接收 ID 令牌、访问令牌和刷新令牌
ID 令牌告诉应用程序用户是谁，因此他们可以从那里获取例如用户的唯一不可变 ID（oid 声明），以识别授予访问权限的用户
这里真的不需要访问令牌，因此应用可以将其丢弃
另一方面，刷新令牌存储在秘密存储中
守护程序应用想要发送电子邮件，因此它从秘密存储区获取刷新令牌
使用刷新令牌从 Azure AD 获取新的访问令牌和刷新令牌
新的刷新令牌存储在秘密存储中以替换现有的
守护程序应用程序使用访问令牌以用户身份发送电子邮件

守护程序应用程序需要为刷新令牌不起作用的不可避免情况做好准备。它可能由于各种原因而过期。在这种情况下，需要为该用户重复第一步。

如果不使用刷新令牌也可能过期，尽管这可能在最近发生了变化。过去，我们制定了一个流程，以确保每个刷新令牌至少每周一次用于获取新令牌以保持它们的新鲜度。

因此，您可以看到具有应用程序权限的守护程序应用程序方法更简单、更强大（只需确保密钥/证书不会过期）。另一方面，具有委派权限的方法从根本上更安全，因为您无法获得比用户拥有的更多的访问权限。个人用户也可以撤销同意。

【讨论】：

感谢您提供详细信息！您是否知道使用 azure 和/或 office 365 的第二种情况的任何工作示例？我们在社交媒体上做过类似的事情，每个身份提供者的细节都不同（当然，细节是魔鬼）。
不，可悲的是我不知道有一个：\我已经在一个客户项目中实现了这个，我不能在这里分享。

【解决方案2】：

如果您只是想读取某个特定 AD 用户的邮箱，则可以使用集成 Windows 提供程序，该提供程序使用委派权限。虽然这更多地用于桌面/移动应用程序，但它也可以用于守护程序应用程序。它的好处是它允许您以静默方式获取令牌，而无需用户交互。然而，有一些注意事项无疑限制了它的范围：

应用程序必须以您尝试访问其邮箱的用户身份运行。
用户无法启用 MFA（因为这需要用户交互 - 对于服务帐户用户来说可能不是问题）。
您需要在 Azure 门户中启用“允许公共客户端流”应用设置。

然后代码将如下所示。更多信息here 和 here。

AuthenticationConfig config = AuthenticationConfig.ReadFromJsonFile("appsettings.json");

IPublicClientApplication app = PublicClientApplicationBuilder
    .Create(config.ClientId)
    .WithTenantId(config.Tenant)
    .Build();

string[] scopes = new string[] { $"{config.ApiUrl}.default" };

var authProvider = new Microsoft.Graph.DelegateAuthenticationProvider(async (request) => {
    var result = await app.AcquireTokenByIntegratedWindowsAuth(scopes).ExecuteAsync();

    request.Headers.Authorization =
        new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", result.AccessToken);
});

var graphClient = new Microsoft.Graph.GraphServiceClient(authProvider);

var messages = await graphClient.Users["TheUser@YourDomain.com"].Messages.Request()
    .Select("sender,subject").GetAsync();  // substitute your user

【讨论】：