安全先行：office-docs-powershell管理员必须知道的8个PowerShell认证与权限最佳实践清单

安全先行：office-docs-powershell管理员必须知道的8个PowerShell认证与权限最佳实践清单

【免费下载链接】office-docs-powershellPowerShell Reference for Office Products - Short URL: aka.ms/office-powershell项目地址: https://gitcode.com/gh_mirrors/of/office-docs-powershell

office-docs-powershell是微软官方维护的Office 产品 PowerShell 参考文档仓库（涵盖 Exchange Online、Security & Compliance、Teams、Skype 等模块的 Cmdlet 参考与概念文档）。对于使用 Exchange Online PowerShell 管理邮箱、安全与合规功能的 IT 管理员来说，PowerShell 认证方式与权限管理（RBAC）是安全防线的核心。🔒 本文精选8 个 PowerShell 认证与权限最佳实践，帮助你从“能连上”升级到“连得安全、权限最小化”，新手也能快速上手。

实践 1：用现代认证（MFA）连接，告别 Basic 认证

传统远程 PowerShell 依赖 Basic 认证，用户名密码在网络中传输，早已是安全隐患。Exchange Online PowerShell V3 模块的Connect-ExchangeOnline命令强制使用现代认证，原生支持多因素认证（MFA），并且远程 PowerShell 连接方式已被官方弃用。

💡 管理员日常连接只需一条命令，身份验证流程由浏览器安全地完成，密码永远不会留在本地脚本里。完整连接方式（含 GCC High、DoD、德国云等环境）见文档：connect-to-exchange-online-powershell.md

实践 2：无值守脚本改用“仅应用认证”，拒绝明文密码

审计与报表类脚本经常需要自动登录。过去的做法是把账号密码存到本地文件或密钥库里——这是典型的安全反模式。证书式应用认证（App-only / CBA）用 Microsoft Entra 应用 + 自签名证书代替用户凭据，是官方推荐的自动化认证方式。

配置流程分五步：注册应用 → 分配 API 权限 → 生成自签名证书 → 绑定证书 → 分配角色。在 Entra 管理中心注册应用时，建议勾选“仅限此组织目录的帐户”，先收窄信任范围：

生成证书后，在应用的“证书与机密”页点击Upload certificate完成绑定：

⚠️ 注意：官方不支持 CNG 密钥类型的证书，必须使用 CSP 密钥提供商生成的证书；也不要为了省事把证书密码存在本地，那会彻底破坏安全意义。

详细步骤（含多租户委托场景）见：app-only-auth-powershell-v2.md

实践 3：自动化终极方案——Azure 托管标识连接

如果脚本跑在 Azure Automation 或 Azure 虚拟机上，最干净的方案是Azure 托管标识（Managed Identity）：系统为云资源自动提供身份，代码中不需要存任何凭据，也没有证书要维护。

连接时只需一条命令：

Connect-ExchangeOnline -ManagedIdentity -Organization contoso.onmicrosoft.com

在自动化账户的 Identity 页面可以查看托管标识的 Object ID，并为其按需授权 RBAC 角色：

系统分配与用户分配两种标识的完整配置步骤见：connect-exo-powershell-managed-identity.md

实践 4：正确授予 Exchange.ManageAsApp，并撤销默认权限

应用要访问 Exchange 资源，必须添加Application 类型的Exchange.ManageAsAppAPI 权限，并由管理员点击“授予管理员同意”。同时建议把默认的 Microsoft GraphUser.Read授权撤销，只保留真正需要的权限：

授权完成后，状态应显示为 “Granted for <Organization>”。对于 GCC High 和 DoD 环境，官方建议通过修改应用清单（Manifest）的方式分配权限。

实践 5：最小权限原则——别把应用都设成 Global Admin

微软官方反复强调：使用权限最少的角色，Global Administrator 属于高权限角色，应只保留给紧急场景。Exchange Online PowerShell 支持的常见角色包括：

• Exchange Administrator/Exchange Recipient Administrator：管理收件人、安全与防垃圾邮件功能
• Compliance Administrator：Security & Compliance PowerShell 的合规管理
• Global Reader/Security Reader：只读审计与报告场景首选 ✔

在角色的 Assignments 页面把应用添加为成员后，会话的 RBAC 权限即按该角色生效：

此外还可以用New-ServicePrincipal把应用注册为 Exchange 服务主体，再加入自定义角色组，实现更精细的自定义权限（需 REST API 模式）。

实践 6：证书即凭据——定期轮换并妥善保管

持有证书私钥（.pfx）的一方就能以应用身份执行操作，因此证书安全等于账号安全。推荐做法：

• 用New-SelfSignedCertificate生成一年有效期的自签名证书，到期前主动轮换 🔄
• .pfx 存入密钥库（如 Azure Key Vault），运行时以证书对象方式传入Connect-ExchangeOnline
• 轮换完成后，在“证书与机密”页删除旧证书，确认新证书正常显示：

实践 7：权限审计——任何 Cmdlet 先查“需要什么角色”

很多管理员不知道自己（或某角色）到底缺什么权限。官方文档提供了通用方法：用Get-ManagementRole -Cmdlet <命令>查出该命令所需的管理角色，再结合Get-ManagementRoleAssignment看角色分配给了谁。整个过程不到 5 分钟，非常适合做权限漂移审计：

$Perms = Get-ManagementRole -Cmdlet Set-Mailbox

结果中“Role”为以 My 开头的角色表示普通用户对自己对象的操作权限。完整解读方法见：find-exchange-cmdlet-permissions.md

实践 8：收口访问——关闭非必要用户的 PowerShell 权限

默认情况下，组织内所有账户都能连接 Exchange Online PowerShell（虽受 RBAC 限制）。建议定期为普通用户批量关闭该能力，只保留管理员的访问权：

Set-User -Identity david@contoso.onmicrosoft.com -EXOModuleEnabled $false

🚨 官方特别提醒：批量关闭时务必排除管理员账号（用Where-Object过滤 UPN），否则会把自己锁在门外。真被锁了，可在 M365 管理中心新建管理员账号再找回访问权。

批量按属性/名单关闭的方法见：disable-access-to-exchange-online-powershell.md

另外，用完即断：交互式会话结束后运行Disconnect-ExchangeOnline，避免残留会话被他人利用。

总结：8 条实践速查清单 🛡️

1. ✅ 用现代认证 + MFA 连接，弃用 Basic 认证
2. ✅ 无值守脚本用证书式仅应用认证，不存明文密码
3. ✅ Azure 上跑脚本优先用托管标识，实现零凭据
4. ✅ 只授予 Exchange.ManageAsApp 并撤销多余默认授权
5. ✅ 按最小权限分配角色，慎用 Global Admin
6. ✅ 证书一年一换，私钥入密钥库
7. ✅ 定期用Get-ManagementRole审计 Cmdlet 权限
8. ✅ 关闭普通用户的 PowerShell 访问，用完即断开

配合本仓库的 Exchange 概念文档（exchange/docs-conceptual/）与 Cmdlet 参考（exchange/exchange-ps/），你可以把这套“认证 + 权限”体系落到每一个自动化脚本里，让 Office 产品的 PowerShell 管理既高效又安全。🚀

【免费下载链接】office-docs-powershellPowerShell Reference for Office Products - Short URL: aka.ms/office-powershell项目地址: https://gitcode.com/gh_mirrors/of/office-docs-powershell