グラフAPIエンドポイントとOutlook RESTエンドポイントの両方の管理者同意を得るにはどうすればよいですか？

Question

目的：、管理者の1時間の同意がすべての会社のメールボックスを読むことができるようになるグラフAPIのいくつかの機能を使用して、およびOutlookのREST APIの一部（ウェブフックはもっと進んでいる）

マイクロソフトのドキュメントを読むと、最適なフローは「OAuth 2.0クライアントの資格認定」と思われます。

• 私のアプリはapps.microsoft.comで作成され、スコープはすべてのメールボックスにアクセスするように定義されています。
• 管理者はhttps://login.microsoftonline.com/common/adminconsent?client_id=XXX&redirect_uri=XXXに接続します。

• それから私は、トークンが返されgrant_type=client_credentials&client_id=XX&client_secret=XX&scope=https://graph.microsoft.com/.default

• でhttps://login.microsoftonline.com/{tenant}/oauth2/v2.0/tokenにトークンを取得します。すべてがMicrosoft Graphで完全に機能します。

しかし、私はhttps://outlook.office.com/.defaultにスコープを変更し、トークンを取得するとき、私は「強さ1の代わりに、2と弱すぎるトークン」401として、私のクエリのために拒否されたトークンを取得。

ここでスコープを変更する必要がありますか？または、別の認証フローが必要ですか？

おかげ

Answer 1

Outlookのエンドポイントは、X509証明書の資格を取得したトークンではなく、クライアントの秘密を必要とし、それはまた、適切な観客とトークン（JWTでaudパラメータ）が必要です。これらをすべて取得するには、Azureポータル（portal.azure.comまたはmanage.windowsazure.com）にアプリを登録し、アプリ登録のマニフェストに公開鍵をアップロードする必要があります。私はここでこれを行うサンプルを持っています：https://github.com/jasonjoh/outlook-fetch。

残念ながら、Outlook専用のスコープをApp登録ポータル（apps.dev.microsoft.com）に追加する方法はありません。この場合、Azure登録メソッドが必要になります。