PAYATHON 2026

Azure Logic Apps 能否通过第三方连接器免 Send As 权限使用内部地址发信？

数据阿明

结论

更换第三方连接器不能省去内部地址的发件授权。使用当前 Office 365 Outlook 连接时，填写 From (Send as) 只是指定发件人，连接账户仍须具备相应的 Send As 或 Send on Behalf 权限。Office 365 Outlook 连接器文档

如果希望避免向某个用户账户授予 Send As，可以考虑经管理员批准的应用身份发信方案。该方案仍需要授权，也不能直接用于没有邮箱的安全组地址。

先核实安全组不能授予 Send As 的说法

Mail Enabled Security Group 支持配置 Send As。Microsoft 的 Exchange Online 文档列明，这类组可以委派 Send As 和 Send on Behalf 权限。因此，“当前组织无法授予”可能受管理权限、管理方式或组织策略限制，不能由此认定该对象类型不支持。邮件安全组管理文档

在工作流中填写 test@microsoft.com，不会自动在 Exchange 中为连接账户授予使用该地址发信的权限。

优先排查现有 Outlook 连接

  1. 确认发送动作使用的 Office 365 Outlook connection 及其登录账户。需要获得授权的是连接账户，不能仅根据 Logic App 的创建者判断。
  2. 请 Exchange 管理员确认 test@microsoft.com 的对象类型，以及组织是否允许为该组配置发件委派。
  3. 如果允许，由管理员向连接账户授予 Send As，再在 Send an email (V2) 的 From (Send as) 中填写组地址。

下面是 Exchange Online PowerShell 示例，前提是管理员已经连接到正确的组织。workflow-account@contoso.com 是占位地址，必须替换为连接实际使用的账户：

Add-RecipientPermission -Identity "test@microsoft.com" -Trustee "workflow-account@contoso.com" -AccessRights SendAs

Get-RecipientPermission -Identity "test@microsoft.com" -Trustee "workflow-account@contoso.com"

这些命令分别用于授予和检查权限，不代表当前环境已经完成授权。组成员资格也不能替代发件委派。命令及适用对象见 Exchange Online 收件人权限文档。

如果管理员确认授权正确后仍然报错，应核对连接账户是否与被授权账户一致，并保留失败运行的错误详情供排查。仅凭当前错误，无法确定原因是未授权、授权尚未生效，还是其他组织配置问题。

不使用用户 Send As 的替代路径

使用 Microsoft Graph 应用身份

对于具有 Exchange Online 邮箱的发件账户，可以评估使用 Microsoft Graph 应用身份发信。管理员同意的 Mail.Send application permission 允许应用通过用户邮箱发送邮件，无须给某个登录用户配置同样的 Send As 委派。Microsoft Graph 发件权限说明

使用前需要管理员批准，并确认应用可以访问目标邮箱。Mail Enabled Security Group 不会因此自动变成邮箱，仅在 /users/{id}/sendMail 中填写组地址也无法完成发送。如果必须保留当前组地址，应先解决该组的发件授权；如果允许换用专用邮箱，再评估应用身份方案。

继续使用 Azure Communication Services

Azure Communication Services 的 Azure Managed domain 可以提供 azurecomm.net 发件地址；使用自定义域需要验证域名所有权并配置邮件认证记录。无法获得 microsoft.com 域名管理方配合时，当前方案不能自行完成该域名的配置。Azure Communication Services 域名与发件认证说明

评估第三方邮件服务时，应先确认它要求哪些发件人或域名验证，以及组织是否允许使用该服务。连接器提供发送接口，并不等于提供了使用 microsoft.com 地址的授权。

[EXTERNAL] 需要单独排查

目前的信息不足以确定 [EXTERNAL] 由哪条规则或哪个系统添加，也不能承诺换成内部格式的 From 地址后就会消失。应请邮件管理员结合邮件头、实际投递路径和组织规则确认原因。

建议先核实安全组的 Send As 委派限制，再修复现有 Outlook connection 的发件授权；如果组织不允许委派，再申请获准的邮箱或应用身份发信方案。

备注：内容仅供参考。