通过组织连接（管理员授权批量导入）连接 Outlook

组织连接（Organization Connect）让 Microsoft 365 管理员用一次授权动作，就为 ColdSend 开放租户内全部（或指定范围内的）邮箱。完成配置后，团队成员可以通过 CSV 批量导入 Outlook 邮箱 —— 既不需要逐个登录，也不需要密码。

什么时候用组织连接

如果你符合以下情况，就用这个方案：

• 需要一次性导入大量 Outlook/Microsoft 365 邮箱（10 个以上）
• 你是 Microsoft 365 租户管理员（或者能请管理员批准）
• 不想为每个邮箱点一遍 OAuth 授权
• 需要一个可规模化的组织邮箱接入方案

适用于个人账户的场景： 如果你只需要连接 1-5 个账户，请改用标准的 共享 OAuth 或 私有 OAuth 方式。

前提条件

• 一个具备管理员权限（全局管理员或 Exchange 管理员）的 Microsoft 365 租户
• 一个拥有应用注册权限的 Azure 账户（免费注册）
• 一个具备团队所有者权限的 ColdSend 账户
• Exchange Online PowerShell 访问权限（用于注册服务主体）

第 1 步：在 Azure 中注册应用并配置应用权限

1. 进入 Azure 门户 > App registrations > + New registration
2. 填写：
   • Name：ColdSend Org Connect（或你喜欢的名称）
   • Supported account types：选择 Single tenant（仅限你的组织）
3. 点击 Register

添加 API 权限

1. 进入 API permissions > + Add a permission
2. 选择 APIs my organization uses > 搜索 Office 365 Exchange Online
3. 选择 Application permissions
4. 添加以下两项权限：

5. 点击 Grant admin consent for [Your Organization] 并确认

生成客户端密钥

1. 进入 Certificates & secrets > + New client secret
2. 设置有效期（建议 180 天）
3. 立即复制密钥的 Value（之后不会再显示）

现在你手上有：

• Application (client) ID —— 在 Overview 页面可以找到
• Client Secret Value —— 刚刚复制的那一串

第 2 步：在 Exchange Online 中注册服务主体

要通过 SMTP/IMAP 访问邮箱，微软要求在 Exchange Online 中把该应用注册为服务主体。

打开 Exchange Online PowerShell 并执行：

# Connect to Exchange Online
Connect-ExchangeOnline

# Get your app's service principal Object ID from Azure AD
# (find it in Azure Portal > Enterprise Applications > search your app name)
$ServicePrincipalObjectId = "YOUR_SERVICE_PRINCIPAL_OBJECT_ID"

# Register the service principal for Exchange access
New-ServicePrincipal -AppId "YOUR_CLIENT_ID" -ServiceId $ServicePrincipalObjectId -Organization "YOUR_TENANT_ID"

在哪里找服务主体 Object ID： Azure 门户 > Microsoft Entra ID > Enterprise Applications > 搜索你的应用名称 > 复制 Object ID。

第 3 步：（可选）用应用访问策略限定范围

默认情况下，该应用可以访问租户内的所有邮箱。如需限制范围：

# Create a mail-enabled security group in Microsoft 365 Admin Center
# Add only the mailboxes you want ColdSend to access to this group

# Then create the access policy
New-ApplicationAccessPolicy `
  -AppId "YOUR_CLIENT_ID" `
  -PolicyScopeGroupId "sales-outreach@yourcompany.com" `
  -AccessRight RestrictAccess `
  -Description "Restrict ColdSend to sales outreach mailboxes only"

企业级安全合规场景建议这样做，但不是必须。

第 4 步：在 ColdSend 中配置

1. 登录 ColdSend > Sender Accounts > Microsoft Outlook
2. 点击 Organization 标签页
3. 点击 Add Azure App Configuration
4. 填写：
   • Application Name：一个好记的名称（例如 "Sales Team Org Connect"）
   • Client ID：你 Azure 应用的 Application (client) ID
   • Client Secret：第 1 步中拿到的密钥值
5. 点击 Save & Continue

第 5 步：授予管理员授权

1. 保存后，点击 Grant Admin Consent
2. 你会被跳转到微软的管理员授权页面
3. 用你的租户管理员账户登录
4. 查看权限列表并点击 Accept
5. 微软会跳回 ColdSend，并显示授权确认
6. 状态变为 Consented

故障排查： 如果授权失败，请确认：

• 你使用的是全局管理员或 Exchange 管理员账户登录
• 应用配置的是正确的应用权限（Application permissions），而不是委托权限（Delegated）
• 已在 Azure 中授予管理员授权（第 1 步）

第 6 步：验证连接

1. 在组织连接卡片上点击 Test Connection
2. ColdSend 会尝试通过客户端凭据获取令牌
3. 如果成功，你会看到 "Connection Test Passed"

如果测试失败，请确认 Exchange Online 服务主体（第 2 步）已正确创建。

第 7 步：批量导入邮箱

1. 当有已授权的连接处于活跃状态时，批量导入区域就会出现
2. 准备一个包含以下列的 CSV 文件：

email_address,display_name,daily_limit
john@yourcompany.com,John Doe,100
jane@yourcompany.com,Jane Smith,50
marketing@yourcompany.com,Marketing Team,30

3. 上传 CSV（拖拽文件或点击浏览）
4. 查看预览和校验结果
5. 点击 Upload 开始导入
6. ColdSend 会在后台逐个测试每个邮箱的 SMTP/IMAP 连通性
7. 实时查看进度 —— 连接成功的邮箱会立即启用

背后的工作原理

• 获取令牌：ColdSend 使用 client_credentials OAuth2 授权方式获取应用级访问令牌（无需用户交互）
• SMTP 发信：使用 XOAUTH2 认证，携带应用令牌和目标用户的邮箱地址：AUTH XOAUTH2 user=john@company.com\x01auth=Bearer {token}\x01\x01
• IMAP 监控：回复追踪使用同样的 XOAUTH2 机制
• 令牌刷新：应用令牌约 1 小时后过期；ColdSend 会按需通过客户端凭据获取新令牌（不为每个邮箱存储刷新令牌）
• 安全性：客户端密钥在存储时加密；令牌不会被长期保存

故障排查

"Admin consent was denied"（管理员授权被拒绝）

• 确认你是用全局管理员或 Exchange 管理员账户登录的
• 检查你的组织是否有策略禁止第三方应用授权

"Test Connection failed"（连接测试失败）

• 确认 Exchange Online 服务主体已注册（第 2 步）
• 第 2 步完成后等待 5-10 分钟让配置生效
• 确认客户端密钥尚未过期

"SMTP/IMAP test failed for specific mailbox"（个别邮箱 SMTP/IMAP 测试失败）

• 该邮箱可能不在限定的安全组内（如果使用了应用访问策略）
• 该邮箱可能已被禁用，或未获得 Exchange Online 许可
• 共享邮箱可能关闭了 SMTP 认证

"Client credentials token acquisition failed"（客户端凭据获取令牌失败）

• 客户端密钥可能已过期 —— 在 Azure 中生成新的密钥并在 ColdSend 中更新
• 管理员授权可能已被撤销 —— 重新授权

常见问题

这对个人 Outlook.com 账户有效吗？ 无效。组织连接只适用于 Microsoft 365 商业版/企业版租户。个人账户请使用 共享 OAuth。

可以连接多个租户的邮箱吗？ 可以。为每个 Microsoft 365 租户分别创建一个组织连接。

客户端密钥过期后会怎样？ 已有的邮箱连接会使用缓存的令牌继续工作，最长 1 小时。之后需要在 ColdSend 中更新客户端密钥以恢复访问。

我的组织数据安全吗？ ColdSend 只访问 SMTP（用于发信）和 IMAP（用于回复追踪）。除了追踪营销活动回复之外，我们不会读取或存储邮件内容。所有凭据在存储时均加密。

批量导入后可以单独移除某个邮箱吗？ 可以。每个导入的邮箱都会作为普通邮箱出现在你的账户中，可以单独断开连接。

新增邮箱时需要重新授权吗？ 不需要。管理员授权一旦授予，你随时可以导入更多邮箱，无需再次授权（前提是这些邮箱在该租户或限定组内）。