只讀的 Microsoft 365 審計應用會申請哪些權限？為什麼需要？

一句話結論： 只讀的 Microsoft 365 審計應用申請的是以 .Read 或 .Read.All 結尾的 Microsoft Graph 應用程序權限，不會有 ReadWrite，因此只能讀取配置，不能修改。只有全域管理員或特權角色管理員可以同意授權；授予了什麼，您可以在 Entra 中親自查看，之後也能撤銷。本文說明如何讀懂這份權限清單、哪些權限應當先問清楚，以及在點擊「接受」之前應向服務商確認什麼。

被要求批准一次保安審計時，最讓管理員猶豫的就是授權頁面。只讀的 Microsoft 365 審計應用所需的 Graph 權限聽上去很安全，但頁面上是一串技術名稱，並要求您對整個組織授予它們。想弄清楚自己同意了什麼，是完全合理的。

本文寫給持有全域管理員帳號的人。內容包括：在 Microsoft Graph 裡「只讀」是什麼意思，為什麼審計應用需要應用程序權限而不是某位用戶的登入，哪些權限值得追問，以及如何自己核對和撤銷訪問。文中也說明 Brocent 自己的審計應用做什麼、不做什麼。文中涉及的 Microsoft 文檔要點，已於 2026 年 11 月 4 日對照 Microsoft Learn 核對。

Microsoft 365 審計應用的「只讀」是什麼意思？

在 Microsoft Graph 中，「只讀」不是營銷說法，而是寫在權限名稱裡的。Microsoft 文檔說明權限名稱遵循「資源、操作、範圍」的格式，即 Resource.Operation.Constraint。操作為 Read 表示僅允許讀取，ReadWrite 則允許讀取、創建、更新和刪除；範圍為 All 表示權限覆蓋整個目錄，而不僅是應用自己擁有的數據。

因此，Policy.Read.All 可以讀取整個租戶的策略，而 Policy.ReadWrite.ConditionalAccess 則能夠修改它們。只需要「看」的應用，只應持有操作為 Read 或 ReadBasic 的權限。

由此有兩點要注意：

• 只讀說的是操作，不是敏感度。 只讀權限也可能暴露很多資訊。Microsoft 自己就把 Directory.Read.All 描述為 Entra ID 資源中權限最高的只讀權限。配置審計往往確實需要對目錄有較寬的讀取範圍，因為被審計的對象就是整個租戶。
• 只讀不等於範圍窄。 有用的問題不只是「它能寫嗎」，還有「它能讀什麼」。讀取條件訪問策略的配置，與讀取郵箱裡的郵件內容，完全是兩回事。

為什麼審計應用需要應用程序權限，而不是用戶登入？

Graph 有兩種訪問模型。*委派*訪問中，應用代表已登入的用戶行事，只能觸及該用戶能觸及的內容；*僅應用*訪問中，應用使用自己的身份，沒有用戶在場，所需權限稱為*應用程序權限*（即應用角色）。

需要一次讀取租戶多個部分設定的審計，通常做成僅應用工具，原因有三：

1. 需要一致的視角。 委派工具只能看到運行者能看到的內容，不同管理員看到的不同，結果就取決於誰登入。
2. 無需有人盯著運行。 跨 Entra ID、Exchange Online、SharePoint 等收集配置要發起大量調用，報告不應依賴管理員一直保持會話。
3. 可以乾淨地撤銷。 訪問權屬於應用自己的身份，刪除應用，訪問權隨之消失，不必再逐個排查哪些用戶令牌仍然有效。

Microsoft 對這一取捨說得很直接：應用程序權限很高，因為它允許應用在沒有登入用戶的情況下訪問資源；從最小權限角度，只要委派權限能滿足需求就應優先使用。正因如此，同意應用程序權限的資格受到限制。按 Microsoft 的說明，只有特權角色管理員或全域管理員可以同意。

所以，不要接受服務商含糊的答覆。既然應用要以僅應用方式訪問您的租戶，您有權知道確切的權限清單。

Brocent 的審計應用做什麼？絕不讀取什麼？

Brocent 的 Microsoft 365 審計使用一個只讀的 Microsoft Graph 應用。由全域管理員同意一次，約需 15 分鐘，之後隨時可以在 Entra ID 中移除。它讀取配置，從不讀取郵件或文檔內容。

最後一句是設計邊界，值得說得具體些：

• 審計會查看： 租戶如何配置，包括 Entra ID 的身份與登入設定、Defender 的防護設定、Purview 的保留與標籤設定、Exchange Online 的郵件流與認證設定、SharePoint 的共享設定，以及 Teams 的會議與外部訪問設定。
• 審計不會觸及： 郵件正文、文件內容或聊天消息。通過配置就能判斷外部轉發是否已被禁止，不需要去讀任何人被轉發的郵件。
• 您會拿到： 一份對照 CIS Microsoft 365 Benchmark（一級與二級，含手動控制項）的報告，附帶按優先級排序的路線圖和工作量估算。各個價位的範圍相同，價格只取決於人數。當前價目見 Microsoft 365 保安審計定價頁。

我們不在公開文章裡直接貼出權限清單，因為今天正確的清單，在應用下一次變更後可能就過時了。更好的做法是：在點擊「接受」之前，向任何服務商（包括 Brocent）要一份書面的確切清單，並用下面兩節來核對。拿不出清單的服務商，本身就說明了問題。

哪些 Graph 權限應當讓您停下來追問？

收到權限清單時，可以用下面幾項快速篩查。它們未必在所有產品裡都不對，但出現在*只讀配置審計*裡，就需要明確的解釋。

• 任何以 ReadWrite、Manage、Create、Send 或 FullControl 結尾的權限。 審查不需要修改、創建或發送任何東西。如果需要，那您買的是整改工具，不是審計。常見的例外是 Exchange.ManageAsApp：Microsoft 文件用它實現對 Exchange Online PowerShell 的僅應用存取，其實際能做什麼由指派給該應用的 Entra 角色（例如全域讀者）決定，請問清楚它持有哪個角色。
• 郵件、文件、聊天等內容類讀取權限。 Microsoft 自己的例子是：持有 Files.Read.All 應用程序權限的應用可以讀取組織內的任何文件；郵件和聊天的對應權限同理。需要這些權限的工具讀取的是您的數據，而不是在審計配置。
• 能讓應用給自己或他人授予更多訪問權的權限。 管理應用註冊、角色分配或同意授權的權限可被用來提權，不應出現在只讀清單裡。
• 很長卻沒有解釋的清單。 Microsoft 的指引是隻授予操作所需的最小權限。請要求把每項權限對應到使用它的報告章節。
• 一次性審查卻要求離線訪問的委派權限。 一次性審查不應留下長期有效的刷新令牌。

遇到意外的權限，正確反應是提問而不是自動拒絕。有時某項權限確有狹窄而正當的用途，只是名稱看不出來。判斷標準是：服務商能否用一句您可以核實的話講清楚。

如何核對應用實際被授予了什麼？

不必只靠服務商的口頭描述。同意之後，授權記錄就在您自己的租戶裡。按 Microsoft 文檔，查看應用被授予的權限：

1. 以至少雲應用程序管理員的身份登入 Microsoft Entra 管理中心。
2. 依次進入 Entra ID、企業應用程序、所有應用程序。
3. 選擇審計應用。
4. 選擇權限。
5. 打開管理員同意分頁，查看對整個組織授予的內容，選中任一項可查看詳情。

把這份清單與同意前被告知的內容比對，兩者應當一致。請帶日期保留一份截圖或導出文件：它能證明您批准了什麼、何時批准，內部複核人員或保險公司日後可能會要求查看。

如需更深入的檢查，同一篇文檔還介紹瞭如何通過服務主體的應用角色分配，用 Microsoft Graph 列出應用的應用程序權限。這也是為租戶內所有第三方應用做定期複查的腳本化方式，無論是否有審計，都是好習慣。

審計結束後如何移除訪問？

審計是某一時點的審查，工作結束，訪問也應結束。有兩種乾淨的做法：

• 撤銷權限。 在同一個管理員同意分頁裡，選擇某項權限，打開操作選單，選擇撤銷權限。Microsoft 提醒：撤銷已授予的權限，並不會阻止使用者在應用仍然請求該權限時再次同意，所以最好同時確保該應用不再使用。
• 刪除企業應用程序。 在 Entra ID 中刪除該應用的企業應用程序條目，持有訪問權的身份隨之消失，這是最能確保無殘留的做法。

移除之後再確認兩點。第一，查看登入日誌中該應用的服務主體登入，確認它不再進行身份驗證。第二，確認用戶同意設定仍然阻止員工自行批准應用，避免它從別的途徑悄悄回來。

只讀應用有哪些做不到的？

坦率說明這些侷限很重要，因為它們決定了服務商除了運行應用之外還應做什麼。

• 有些控制項無法通過 API 讀取。 CIS Microsoft 365 Benchmark 含有手動控制項，例如應急訪問（break-glass）帳號如何保管和使用，或只存在於制度文件而非設定裡的決定。好的審計會通過與您的管理員簡短溝通來覆蓋，而不是靠猜。
• 設定只是快照。 報告描述的是讀取當天的租戶狀態，下週的改動不在其中，這也是部分組織選擇按季度複審的原因。
• 某項設定開啓，並不代表對您的業務合適。 報告對照基線標出差距，並按風險和工作量排序。先修什麼是判斷題，這正是彙報溝通環節的用途。

這些都不是隻讀方式的缺陷，而是交付物為什麼是「帶有人工解讀的報告」，而不是原始導出文件的原因。

同意授權之前，應向服務商提出的問題

把下面這些複製到發給每家候選服務商的郵件裡。

• 應用會申請哪些 Microsoft Graph 權限？請按確切名稱逐項列出。
• 其中有沒有 ReadWrite，或能讀取郵件、文件、聊天內容的權限？如果有，原因是什麼？
• 訪問是僅應用還是委派？是否使用長期有效的刷新令牌？
• 應用的憑據由誰持有，如何保存？
• 我如何查看並撤銷您們被授予的權限？移除需要多久？
• 報告中有哪些內容是應用讀不到的？您們打算如何收集？
• 如果終止合作，應用以及已收集的數據會如何處理？

能迅速而具體地回答這些問題的服務商，遠比只說一句「應用很安全」就帶過的更值得信任。

常見問題

把租戶的訪問權限交給 Microsoft 365 審計應用安全嗎？

取決於權限清單和服務商對數據的處理方式。僅讀取配置、由您自己的全域管理員同意、在 Entra 中可見並可隨時移除的只讀應用，風險遠低於可以寫入或讀取內容的工具。請先索取確切清單，同意後再核實。

誰可以批准審計應用的應用程序權限？

按 Microsoft 文檔，只有特權角色管理員或全域管理員可以同意應用程序權限。同一文檔說明，雲應用程序管理員或應用程序管理員可以查看並撤銷已授予的內容。

只讀審計應用會讀取我的郵件或文檔嗎？

不應當。配置審計檢查的是例如「外部轉發是否已被禁止」這樣的設定，而不是郵件內容。Brocent 的審計應用只讀取配置，從不讀取郵件或文檔內容。如果任何服務商的清單裡出現郵件、文件或聊天的讀取權限，請追問原因。

審計應用能更改我租戶裡的任何內容嗎？

只持有讀取權限時不能。以 ReadWrite 結尾的權限才能更改數據。批准之後請在管理員同意分頁中確認沒有這類權限。

授權需要多久？可以撤銷嗎？

對 Brocent 的審計，全域管理員一次性同意約需 15 分鐘。您可以隨時在 Entra ID 中移除該應用，移除後訪問隨之結束，因為持有訪問權的身份已經不存在。

做完這次審計，我們就合規或獲得認證了嗎？

不會。報告和工作簿旨在用作常見網絡保險問卷和 Cyber Essentials 問題的證據，並不授予或保證任何認證；保險公司或評估機構是否接受，由其自行決定。

下一步

寫下您的人數，要求每家服務商書面提供確切的權限清單，並在同意前對照本文核對。如果 Brocent 在您的候選名單中，Microsoft 365 保安審計定價頁列出了對應您規模的固定價格：1–10 人起價 450 美元，一次性、不含稅；授予只讀訪問後 5–7 個工作日交付報告。示例報告（英文頁）展示了成果的樣子。

想進一步瞭解，可以閱讀Microsoft 365 保安審計費用是怎樣構成的、審查範圍見Microsoft 365 保安審計清單，以及證據如何對應保險公司的提問，見網絡保險問卷一文。如果想直接溝通，請聯繫我們。