排查M365单个用户第三方应用X的日历访问权限异常问题

一、用户级权限与授权检查 #

• 确认Azure AD中应用X的用户分配：管理员登录Azure门户，进入「企业应用」→找到应用X→「用户和组」，检查该用户是否已被添加，且分配的角色与其他正常用户一致。若未添加，手动添加并同步。
• 查看用户的OAuth权限记录：管理员进入Azure门户「用户」→选中该用户→「应用权限」，检查是否存在应用X的日历相关权限（如Calendars.Read）。若权限缺失或被撤销，让用户重新连接应用并确保授权时勾选日历访问权限。
• 检查用户日历的本地共享设置：让用户在Outlook客户端右键目标日历→「属性」→「权限」，确认「默认」用户至少有「读取」权限（避免日历被设为完全私有导致应用无法读取）。

二、用户账户特殊配置排查 #

• 检查条件访问策略：管理员进入Azure AD「条件访问」，排查是否有针对该用户或应用X的限制策略（如强制MFA未完成、位置限制、设备合规要求未满足）。若有，调整策略或确保用户符合策略要求。
• 验证用户许可证状态：确认用户已分配Exchange Online许可证（日历功能依赖此许可证），且许可证未被禁用、过期。可在Azure门户「用户」→「许可证」中查看。
• 确认用户日历归属：询问用户是否尝试访问的是共享邮箱日历，而非个人日历。若为共享邮箱，需确保用户对该共享邮箱日历有读取权限，且应用X支持连接共享邮箱日历。

三、后端权限与API验证 #

• 用Graph Explorer测试权限：管理员登录Graph Explorer，切换到「模拟用户」模式（输入该用户UPN），调用GET /me/calendars接口。若返回403错误，说明权限不足；若返回404，需检查用户是否存在有效日历；若返回正常数据，说明问题出在应用X的端侧处理。
• 确认应用X的权限范围：联系开发商确认应用请求的是委托权限Calendars.Read或Calendars.Read.Shared（而非仅应用权限，单个用户问题更可能是委托权限异常），且租户已授予对应权限。

四、缓存与本地环境清理 #

• 清除应用缓存：若应用X是Web应用，让用户清除浏览器缓存、Cookie后重新连接；若为客户端应用，卸载后重装，或在应用内找到「重置连接」选项。
• 用私有窗口测试：让用户在浏览器私有窗口（或隐身模式）重新授权连接应用X，排除本地缓存导致的权限异常。

内容的提问来源于stack exchange，提问作者user30122290