EWS Impersonation Neden Bozuluyor? Sorun Throttling Değil
EWS mailbox erişimi bazı hesaplarda aniden kesiliyorsa suçlu genelde throttling değil, Application Access Policy kapsam grubudur. Teşhis ve kalıcı çözüm burada.
Uzun süredir sorunsuz çalışan bir EWS entegrasyonunun bazı posta kutularında aniden hata vermeye başlaması, çoğu zaman throttling zannedilen ama aslında tamamen farklı bir kaynaktan gelen bir problemdir. Gerçek throttling istek hacmiyle doğru orantılı şekilde artar ve backoff ile düzelir; buna karşılık son dönemde yaygınlaşan asıl sorun, tenant yöneticilerinin güvenlik sıkılaştırması kapsamında uyguladığı Application Access Policy kapsam gruplarıdır. Uygulamanın ApplicationImpersonation hakkı hâlâ dururken, erişebileceği posta kutusu listesi daralmış olabilir ve grup üyeliği zamanla değiştiği için hata belirli hesaplara özgü, aralıklı bir şekilde ortaya çıkar.
İki durumu ayırt etmenin yolu basittir: hatalar isteğe göre mi yoksa belirli posta kutularına göre mi kümeleniyor? HTTP durum kodu tek başına yeterli değildir; 503 ile throttling, 403/ErrorAccessDenied ile kapsam sorunu birbirine çok benzer görünse de yanıt gövdesindeki X-MS-Diagnostics veya SOAP hata detayı ayrımı netleştirir. Unified Audit Log üzerinden Application Access Policy değişikliklerinin ne zaman yapıldığını kontrol etmek, sorunun fark edilme tarihinden haftalar önce sessizce başlamış olabileceğini gösterir.
Kalıcı çözüm iki katmanlıdır: kısa vadede statik grup yerine bir öznitelik bazlı dinamik dağıtım grubu kullanmak, üyeliğin manuel güncelleme gerektirmeden kendini takip etmesini sağlar. Uzun vadede ise tenant genelinde tek bir hesaba impersonation yetkisi vermek yerine RBAC for Applications ile uygulamaya kaynak bazlı, sınırlı kapsamlı roller atamak, bu tür sorunların kök nedenini ortadan kaldırır. EWS'in Microsoft'un yol haritasında Graph API lehine kademeli olarak devre dışı bırakılacağı düşünüldüğünde, bu izin modeli geçişini önce yapmak, sonraki API geçişini daha küçük ve daha az riskli bir adıma dönüştürür.