只读的 Microsoft 365 审计应用会申请哪些权限？为什么需要？

一句话结论： 只读的 Microsoft 365 审计应用申请的是以 .Read 或 .Read.All 结尾的 Microsoft Graph 应用程序权限，不会有 ReadWrite，因此只能读取配置，不能修改。只有全局管理员或特权角色管理员可以同意授权；授予了什么，您可以在 Entra 中亲自查看，之后也能撤销。本文说明如何读懂这份权限清单、哪些权限应当先问清楚，以及在点击“接受”之前应向服务商确认什么。

被要求批准一次安全审计时，最让管理员犹豫的就是授权页面。只读的 Microsoft 365 审计应用所需的 Graph 权限听上去很安全，但页面上是一串技术名称，并要求您对整个组织授予它们。想弄清楚自己同意了什么，是完全合理的。

本文写给持有全局管理员账号的人。内容包括：在 Microsoft Graph 里“只读”是什么意思，为什么审计应用需要应用程序权限而不是某位用户的登录，哪些权限值得追问，以及如何自己核对和撤销访问。文中也说明 Brocent 自己的审计应用做什么、不做什么。文中涉及的 Microsoft 文档要点，已于 2026 年 11 月 4 日对照 Microsoft Learn 核对。

Microsoft 365 审计应用的“只读”是什么意思？

在 Microsoft Graph 中，“只读”不是营销说法，而是写在权限名称里的。Microsoft 文档说明权限名称遵循“资源、操作、范围”的格式，即 Resource.Operation.Constraint。操作为 Read 表示仅允许读取，ReadWrite 则允许读取、创建、更新和删除；范围为 All 表示权限覆盖整个目录，而不仅是应用自己拥有的数据。

因此，Policy.Read.All 可以读取整个租户的策略，而 Policy.ReadWrite.ConditionalAccess 则能够修改它们。只需要“看”的应用，只应持有操作为 Read 或 ReadBasic 的权限。

由此有两点要注意：

• 只读说的是操作，不是敏感度。 只读权限也可能暴露很多信息。Microsoft 自己就把 Directory.Read.All 描述为 Entra ID 资源中权限最高的只读权限。配置审计往往确实需要对目录有较宽的读取范围，因为被审计的对象就是整个租户。
• 只读不等于范围窄。 有用的问题不只是“它能写吗”，还有“它能读什么”。读取条件访问策略的配置，与读取邮箱里的邮件内容，完全是两回事。

为什么审计应用需要应用程序权限，而不是用户登录？

Graph 有两种访问模型。*委派*访问中，应用代表已登录的用户行事，只能触及该用户能触及的内容；*仅应用*访问中，应用使用自己的身份，没有用户在场，所需权限称为*应用程序权限*（即应用角色）。

需要一次读取租户多个部分设置的审计，通常做成仅应用工具，原因有三：

1. 需要一致的视角。 委派工具只能看到运行者能看到的内容，不同管理员看到的不同，结果就取决于谁登录。
2. 无需有人盯着运行。 跨 Entra ID、Exchange Online、SharePoint 等收集配置要发起大量调用，报告不应依赖管理员一直保持会话。
3. 可以干净地撤销。 访问权属于应用自己的身份，删除应用，访问权随之消失，不必再逐个排查哪些用户令牌仍然有效。

Microsoft 对这一取舍说得很直接：应用程序权限很高，因为它允许应用在没有登录用户的情况下访问资源；从最小权限角度，只要委派权限能满足需求就应优先使用。正因如此，同意应用程序权限的资格受到限制。按 Microsoft 的说明，只有特权角色管理员或全局管理员可以同意。

所以，不要接受服务商含糊的答复。既然应用要以仅应用方式访问您的租户，您有权知道确切的权限清单。

Brocent 的审计应用做什么？绝不读取什么？

Brocent 的 Microsoft 365 审计使用一个只读的 Microsoft Graph 应用。由全局管理员同意一次，约需 15 分钟，之后随时可以在 Entra ID 中移除。它读取配置，从不读取邮件或文档内容。

最后一句是设计边界，值得说得具体些：

• 审计会查看： 租户如何配置，包括 Entra ID 的身份与登录设置、Defender 的防护设置、Purview 的保留与标签设置、Exchange Online 的邮件流与认证设置、SharePoint 的共享设置，以及 Teams 的会议与外部访问设置。
• 审计不会触及： 邮件正文、文件内容或聊天消息。通过配置就能判断外部转发是否已被禁止，不需要去读任何人被转发的邮件。
• 您会拿到： 一份对照 CIS Microsoft 365 Benchmark（一级与二级，含手动控制项）的报告，附带按优先级排序的路线图和工作量估算。各个价位的范围相同，价格只取决于人数。当前价目见 Microsoft 365 安全审计定价页。

我们不在公开文章里直接贴出权限清单，因为今天正确的清单，在应用下一次变更后可能就过时了。更好的做法是：在点击“接受”之前，向任何服务商（包括 Brocent）要一份书面的确切清单，并用下面两节来核对。拿不出清单的服务商，本身就说明了问题。

哪些 Graph 权限应当让您停下来追问？

收到权限清单时，可以用下面几项快速筛查。它们未必在所有产品里都不对，但出现在*只读配置审计*里，就需要明确的解释。

• 任何以 ReadWrite、Manage、Create、Send 或 FullControl 结尾的权限。 审查不需要修改、创建或发送任何东西。如果需要，那您买的是整改工具，不是审计。常见的例外是 Exchange.ManageAsApp：Microsoft 文档用它实现对 Exchange Online PowerShell 的仅应用访问，其实际能做什么由分配给该应用的 Entra 角色（例如全局读取者）决定，请问清楚它持有哪个角色。
• 邮件、文件、聊天等内容类读取权限。 Microsoft 自己的例子是：持有 Files.Read.All 应用程序权限的应用可以读取组织内的任何文件；邮件和聊天的对应权限同理。需要这些权限的工具读取的是您的数据，而不是在审计配置。
• 能让应用给自己或他人授予更多访问权的权限。 管理应用注册、角色分配或同意授权的权限可被用来提权，不应出现在只读清单里。
• 很长却没有解释的清单。 Microsoft 的指引是只授予操作所需的最小权限。请要求把每项权限对应到使用它的报告章节。
• 一次性审查却要求离线访问的委派权限。 一次性审查不应留下长期有效的刷新令牌。

遇到意外的权限，正确反应是提问而不是自动拒绝。有时某项权限确有狭窄而正当的用途，只是名称看不出来。判断标准是：服务商能否用一句您可以核实的话讲清楚。

如何核对应用实际被授予了什么？

不必只靠服务商的口头描述。同意之后，授权记录就在您自己的租户里。按 Microsoft 文档，查看应用被授予的权限：

1. 以至少云应用程序管理员的身份登录 Microsoft Entra 管理中心。
2. 依次进入 Entra ID、企业应用程序、所有应用程序。
3. 选择审计应用。
4. 选择权限。
5. 打开管理员同意选项卡，查看对整个组织授予的内容，选中任一项可查看详情。

把这份清单与同意前被告知的内容比对，两者应当一致。请带日期保留一份截图或导出文件：它能证明您批准了什么、何时批准，内部复核人员或保险公司日后可能会要求查看。

如需更深入的检查，同一篇文档还介绍了如何通过服务主体的应用角色分配，用 Microsoft Graph 列出应用的应用程序权限。这也是为租户内所有第三方应用做定期复查的脚本化方式，无论是否有审计，都是好习惯。

审计结束后如何移除访问？

审计是某一时点的审查，工作结束，访问也应结束。有两种干净的做法：

• 撤销权限。 在同一个管理员同意选项卡里，选择某项权限，打开操作菜单，选择撤销权限。Microsoft 提醒：撤销已授予的权限，并不会阻止用户在应用仍然请求该权限时再次同意，所以最好同时确保该应用不再使用。
• 删除企业应用程序。 在 Entra ID 中删除该应用的企业应用程序条目，持有访问权的身份随之消失，这是最能确保无残留的做法。

移除之后再确认两点。第一，查看登录日志中该应用的服务主体登录，确认它不再进行身份验证。第二，确认用户同意设置仍然阻止员工自行批准应用，避免它从别的途径悄悄回来。

只读应用有哪些做不到的？

坦率说明这些局限很重要，因为它们决定了服务商除了运行应用之外还应做什么。

• 有些控制项无法通过 API 读取。 CIS Microsoft 365 Benchmark 含有手动控制项，例如应急访问（break-glass）账号如何保管和使用，或只存在于制度文件而非设置里的决定。好的审计会通过与您的管理员简短沟通来覆盖，而不是靠猜。
• 设置只是快照。 报告描述的是读取当天的租户状态，下周的改动不在其中，这也是部分组织选择按季度复审的原因。
• 某项设置开启，并不代表对您的业务合适。 报告对照基线标出差距，并按风险和工作量排序。先修什么是判断题，这正是汇报沟通环节的用途。

这些都不是只读方式的缺陷，而是交付物为什么是“带有人工解读的报告”，而不是原始导出文件的原因。

同意授权之前，应向服务商提出的问题

把下面这些复制到发给每家候选服务商的邮件里。

• 应用会申请哪些 Microsoft Graph 权限？请按确切名称逐项列出。
• 其中有没有 ReadWrite，或能读取邮件、文件、聊天内容的权限？如果有，原因是什么？
• 访问是仅应用还是委派？是否使用长期有效的刷新令牌？
• 应用的凭据由谁持有，如何保存？
• 我如何查看并撤销你们被授予的权限？移除需要多久？
• 报告中有哪些内容是应用读不到的？你们打算如何收集？
• 如果终止合作，应用以及已收集的数据会如何处理？

能迅速而具体地回答这些问题的服务商，远比只说一句“应用很安全”就带过的更值得信任。

常见问题

把租户的访问权限交给 Microsoft 365 审计应用安全吗？

取决于权限清单和服务商对数据的处理方式。仅读取配置、由您自己的全局管理员同意、在 Entra 中可见并可随时移除的只读应用，风险远低于可以写入或读取内容的工具。请先索取确切清单，同意后再核实。

谁可以批准审计应用的应用程序权限？

按 Microsoft 文档，只有特权角色管理员或全局管理员可以同意应用程序权限。同一文档说明，云应用程序管理员或应用程序管理员可以查看并撤销已授予的内容。

只读审计应用会读取我的邮件或文档吗？

不应当。配置审计检查的是例如“外部转发是否已被禁止”这样的设置，而不是邮件内容。Brocent 的审计应用只读取配置，从不读取邮件或文档内容。如果任何服务商的清单里出现邮件、文件或聊天的读取权限，请追问原因。

审计应用能更改我租户里的任何内容吗？

只持有读取权限时不能。以 ReadWrite 结尾的权限才能更改数据。批准之后请在管理员同意选项卡中确认没有这类权限。

授权需要多久？可以撤销吗？

对 Brocent 的审计，全局管理员一次性同意约需 15 分钟。您可以随时在 Entra ID 中移除该应用，移除后访问随之结束，因为持有访问权的身份已经不存在。

做完这次审计，我们就合规或获得认证了吗？

不会。报告和工作簿旨在用作常见网络保险问卷和 Cyber Essentials 问题的证据，并不授予或保证任何认证；保险公司或评估机构是否接受，由其自行决定。

下一步

写下您的人数，要求每家服务商书面提供确切的权限清单，并在同意前对照本文核对。如果 Brocent 在您的候选名单中，Microsoft 365 安全审计定价页列出了对应您规模的固定价格：1–10 人起价 450 美元，一次性、不含税；授予只读访问后 5–7 个工作日交付报告。示例报告（英文页）展示了成果的样子。

想进一步了解，可以阅读Microsoft 365 安全审计费用是怎样构成的、审查范围见Microsoft 365 安全审计清单，以及证据如何对应保险公司的提问，见网络保险问卷一文。如果想直接沟通，请联系我们。