如何在没有交互式登录的情况下通过EWS访问具有受限权限的邮箱？

Question

我们需要从专用 exchange/outlook 邮箱 （O365） 的联系人文件夹中读出通讯组列表。该进程必须作为服务运行，没有用户交互。

不幸的是，图形应用编程接口不支持分发列表（甚至图形测试版也不支持）。因此，我们必须使用另一个应用编程接口——我尝试使用EWS。

我成功地向我们的服务授予了full_access_as_app权限。然而，这允许读取和修改任何邮箱中的任何数据，这是一个安全风险。不允许只授予此权限从一个邮箱中读取某些通讯组列表。

所以我尝试使用ROPC流，该流应该允许对用户进行身份验证，然后使用该用户的权限访问邮箱。我遵循了以下信息：如何在服务/守护程序应用程序中获取EWS托管API的OAuth2访问令牌

(顺便说一下，我在这里的讨论中找到了这篇文章的链接:https://github . com/Microsoft graph/Microsoft-graph-docs/issues/5659，其中有关于这个主题的更多信息。)

我完全遵循了上面提到的步骤，但不幸的是这不起作用:我总是在进行EWS调用时得到一个“401未授权”异常(OAuth调用成功)，没有其他信息。

根据https://developer . Microsoft . com/en-us/graph/blogs/upcoming-changes-to-exchange-we b-services-EWS-API-for-office-365/这已经不起作用了。那么，在没有完全访问权限和交互式登录的情况下，我如何从特定的邮箱中读取分发列表呢？

按要求在此处编辑完整代码：

string[] ewsScopes = { "https://outlook-tdf-2.office.com/EWS.AccessAsUser.All" };

IPublicClientApplication clientApplication = PublicClientApplicationBuilder.Create(appId).WithAuthority(AzureCloudInstance.AzurePublic, tenantId).Build();
NetworkCredential credentials = new NetworkCredential(appUsername, appPassword);

AuthenticationResult authResult = await clientApplication.AcquireTokenByUsernamePassword(ewsScopes, credentials.UserName, credentials.SecurePassword).ExecuteAsync().ConfigureAwait(false);

ExchangeService exchangeService = new ExchangeService
{
    Url = new Uri("https://outlook.office365.com/EWS/Exchange.asmx"),
    Credentials = new OAuthCredentials(authResult.AccessToken),
};

ItemView view = new ItemView(int.MaxValue)
{
    PropertySet = new PropertySet(ItemSchema.Id),
};
SearchFilter.IsEqualTo filter = new SearchFilter.IsEqualTo(ItemSchema.ItemClass, "IPM.Contact");

FindItemsResults<Item> ewsResult = await exchangeService.FindItems(WellKnownFolderName.Contacts, filter, view).ConfigureAwait(false);

我还尝试了其他范围，如“https://outlook.office.com/EWS.AccessAsUser.All“或”https://outlook.office365.com/EWS.AccessAsUser.All“但没有成功。我觉得问题可能与范围有关？我可以看到，添加权限时在Azure UI中列出的Exchange旧版API现在不存在了。。。？

Answer 1

通讯组目前仅在Exchange PowerShell中公开，目前不支持通过Microsoft Graph API。

请在用户之声上对此功能请求进行投票：

Answer 2

昨天11月19日微软更新了留档：https://learn.microsoft.com/en-us/exchange/client-developer/exchange-web-services/how-to-authenticate-an-ews-application-by-using-oauth

根据新文档，它（再次）工作。主要区别是使用缩短的范围“EWS.AccessAsUser.All”，而不是许多示例和帖子中的任何完整范围，如“https://outlook.office.com/EWS.AccessAsUser.All”, “https://outlook.office365.com/EWS.AccessAsUser.All“等。

谢谢MS浪费我的时间。

Answer 3

代码中的范围是错误的（我不确定你从哪里得到的）它应该是

string[] ewsScopes = { "https://outlook.office.com/EWS.AccessAsUser.All" };

将您的代码与您的范围一起使用会产生401错误，如果您查看EWS响应的响应标头，它实际上告诉您范围是问题所在，例如

2000003;reason="The audience claim value is invalid for current resource. Audience claim is 'https://outlook-tdf-2.office.com/', request url is 'https://outlook.office365.com/EWS/Exchange.asmx' and resource type is 'Exchange'.";error_category="invalid_resource"

使用正确范围的代码工作正常

但是为什么添加Exchange旧版权限的选项（上面提到的MS文档中的第6步）从Azure UI中消失了呢？

它并没有从AzureUI中移除，他们只是将所有的Exchange传统权限(包括在Exchange Admin cmdlets中使用的权限，它并不是真正的传统API)移到了图形权限下。为什么他们这样做，没有很好地沟通(我也是今天才看到的)，我不知道。