Unterschiede bei der Authentifizierung zwischen Exchange-Webdiensten (EWS) und Microsoft Graph

Exchange-Webdienste (EWS) und Microsoft Graph verwenden beide Microsoft Identity Platform OAuth 2.0 für die Authentifizierung und Autorisierung.

Hinweis

EWS unterstützt derzeit auch die Standardauthentifizierung. Die Standardauthentifizierung ist veraltet und wird in microsoft 365-Organisationen deaktiviert. Microsoft Graph unterstützt keine Standardauthentifizierung, sodass Apps, die noch nicht zu OAuth 2.0 migriert wurden, dies für den Zugriff auf Microsoft Graph tun müssen.

Berechtigungen

EWS und Microsoft Graph bieten zwei Arten von Berechtigungen: delegiert und Anwendung. Delegierte Berechtigungen befinden sich im Kontext eines authentifizierten Benutzers. Anwendungsberechtigungen werden einer Anwendung gewährt, die nicht im Namen eines Benutzers handelt.

Mit EWS hat eine Anwendung Zugriff auf alles, auf das der Benutzer Zugriff hat (mit delegierten Berechtigungen) oder auf alles, auf das EWS (mit Anwendungsberechtigungen) zugreifen kann.

EWS verfügt über ein Zugriffsmodell für alle oder nichts, und es gibt keinen präzisen Bereich zum Einschränken des Datenzugriffs in einem Postfach. Während Microsoft Graph präzise Berechtigungen für bestimmte Features innerhalb eines Exchange Online Postfachs bietet. Beispielsweise ist es möglich, einer Anwendung zu erlauben, nur E-Mail-Nachrichten zu lesen und keinen Zugriff auf Kalender oder Kontakte zu haben. Die effektiven Berechtigungen für die delegierte Authentifizierung sind die Schnittmenge zwischen den Berechtigungen des Benutzers und den Berechtigungen, denen für die Anwendung zugestimmt wurde. Bei der Anwendungsauthentifizierung sind die effektiven Berechtigungen die Berechtigungssätze, denen ein Administrator zugestimmt hat.

Eine vollständige Liste der Exchange-bezogenen Microsoft Graph-Berechtigungen finden Sie unter:

• E-Mail-Berechtigungen
• Kalenderberechtigungen
• Berechtigungen für persönliche Kontakte
• Aufgabenberechtigungen

Identitätswechsel

Der EWS-Identitätswechsel bietet einen Mechanismus für EWS-Anwendungen, die als Dienstkonto ausgeführt werden, um als Benutzer zu fungieren. Dadurch kann die App Aktionen ausführen, z. B. das Senden einer E-Mail, die vom angenommenen Benutzer zu stammen scheinen.

Mit Microsoft Graph gibt es keine Dienstkonten. Stattdessen werden Berechtigungen direkt für Anwendungen erteilt. Die Anwendung authentifiziert sich mithilfe des Clientanmeldeinformationsflows mit einer eigenen Identität. Standardmäßig gewährt die Administratoreinwilligung Zugriff auf die Postfächer aller Benutzer, aber Apps können von einem Administrator auf bestimmte Postfächer beschränkt werden. Der Weg zum Identitätswechsel in Microsoft Graph besteht darin, die App-Zugriffsrichtlinie und Anwendungsberechtigungen zu verwenden.