AD FS 3.0环境下Outlook 2019桌面客户端MS365现代认证SSO失效问题求助

各位大佬好，我这边遇到一个头疼的问题，想请大家帮忙分析下：

环境背景 #

• 我们已经在Windows Server 2016 Standard服务器上完成了AD FS服务的安装和配置
• 通过Azure AD Connect将本地域配置为Microsoft 365租户的联合域，同时Azure AD Connect自动为「Microsoft Office 365 Identity Platform Worldwide」创建了信赖方信任
• 在本地域创建了测试用户TestUser（UPN为testuser@example.com），该用户已同步到MS365租户，并且我们为其分配了Exchange Online许可证

测试情况 #

• 用TestUser的电脑通过Microsoft Edge访问https://outlook.office.com时，SSO完全正常，说明联合身份认证的基础配置是没问题的
• 但打开Outlook 2019（来自Office 2019 Standard安装包）时，简化账户创建向导自动填入了用户的UPN，点击继续后弹出现代认证窗口，跳转到我们的AD FS登录页面要求输入密码，SSO直接失效了

AD FS事件查看器报错信息 #

The Federation Service could not authorize token issuance for caller 'DOMAIN\TestUser'. The caller is not authorized to request a token for the relying party 'urn:federation:MicrosoftOnline'. See event 501 with the same Instance ID for caller identity.

Additional Data
Instance ID: 9c026fe6-4068-4a47-9e89-e4248dd5ca85
Relying party: urn:federation:MicrosoftOnline

Exception details:
Microsoft.IdentityServer.Service.IssuancePipeline.CallerAuthorizationException: MSIS5007: The caller authorization failed for caller identity DOMAIN\TestUser for relying party trust urn:federation:MicrosoftOnline.
at Microsoft.IdentityModel.Threading.AsyncResult.End(IAsyncResult result)
at Microsoft.IdentityModel.Protocols.WSTrust.WSTrustServiceContract.ProcessCoreAsyncResult.End(IAsyncResult ar)
at Microsoft.IdentityModel.Protocols.WSTrust.WSTrustServiceContract.EndProcessCore(IAsyncResult ar, String requestAction, String responseAction, String trustNamespace)

User Action
Use the AD FS Management snap-in to ensure that the caller is authorized to request a token for the relying party.

已排查的内容 #

我检查了urn:federation:MicrosoftOnline这个信赖方信任的颁发授权规则，里面只有一条规则：Permit Access to All Users，理论上应该允许所有用户请求令牌才对，但还是报了授权失败的错误。

有没有大佬能给点建议，怎么让Outlook桌面客户端也能正常使用SSO呢？非常感谢！

备注：内容来源于stack exchange，提问作者eKKiM