Поделиться через

Различия в проверке подлинности между веб-службами Exchange (EWS) и Microsoft Graph

  • Статья

Веб-службы Exchange (EWS) и Microsoft Graph используют платформа удостоверений Майкрософт OAuth 2.0 для проверки подлинности и авторизации.

Примечание.

В настоящее время EWS также поддерживает обычную проверку подлинности. Обычная проверка подлинности устарела и отключается в организациях Microsoft 365. Microsoft Graph не поддерживает обычную проверку подлинности, поэтому приложения, которые еще не перешли на OAuth 2.0, должны сделать это для доступа к Microsoft Graph.

Разрешения

EWS и Microsoft Graph предлагают два типа разрешений: делегированные и приложения. Делегированные разрешения находятся в контексте пользователя, прошедшего проверку подлинности. Разрешения приложения предоставляются приложению, которое не действует от имени пользователя.

С помощью EWS приложение имеет доступ ко всему, к которому пользователь имеет доступ (с делегированными разрешениями) или ко всему, к которому EWS может получить доступ (с разрешениями приложения).

EWS имеет модель доступа "все" или "ничего", и нет детализированной области для ограничения доступа к данным в почтовом ящике. В то время как Microsoft Graph предоставляет детализированные разрешения для определенных функций в почтовом ящике Exchange Online. Например, можно разрешить приложению только чтение почтовых сообщений и не иметь доступа к календарям или контактам. Действующие разрешения для делегированной проверки подлинности — это пересечение привилегий пользователя и разрешений, которые были предоставлены для приложения. Для проверки подлинности приложения действующие разрешения — это набор разрешений, предоставленных администратором.

Полный список разрешений Microsoft Graph, связанных с Exchange, см. в следующих разделах:

  • Разрешения почты
  • Разрешения календаря
  • Разрешения личных контактов
  • Разрешения для задач

Олицетворение

Олицетворение EWS предоставляет механизм, позволяющий приложениям EWS, работающим как учетная запись службы, действовать в качестве пользователя. Это позволяет приложению выполнять действия, такие как отправка сообщения электронной почты, которые, как представляется, приходят от олицетворенного пользователя.

В Microsoft Graph учетные записи служб отсутствуют. Вместо этого разрешения предоставляются приложениям напрямую. Приложение выполняет проверку подлинности с помощью потока учетных данных клиента с собственным удостоверением. По умолчанию согласие администратора предоставляет доступ к почтовым ящикам всех пользователей, но администратор может ограничить приложения определенными почтовыми ящиками . Способ достижения олицетворения в Microsoft Graph — использование политики доступа к приложениям и разрешений приложений.