使用GraphAPI操作Outlook其他用户日历分类遇权限拒绝问题

核心原因 #

1. ROPC认证的权限模式限制：ROPC属于委托权限认证模式，请求是以指定用户的身份发起的，仅能使用应用配置的委托权限，无法调用应用权限。你当前配置的MailboxSettings.ReadWrite委托权限仅允许操作登录用户自身的日历分类，不具备访问其他用户分类的权限范围。
2. 权限范围不匹配：要通过委托模式操作其他用户的masterCategories，需要的是MailboxSettings.ReadWrite.All委托权限，而非基础的MailboxSettings.ReadWrite。

支持情况 #

Microsoft Graph API支持操作其他用户的日历分类，但需满足对应的权限和认证要求。

解决办法 #

方案1：更换为客户端凭据认证（推荐） #

客户端凭据认证属于应用权限模式，无需模拟特定用户身份，操作步骤如下：

• 在Azure AD中为应用配置MailboxSettings.ReadWrite.All应用权限；
• 由全局管理员或Exchange管理员同意该应用权限；
• 使用客户端ID、客户端密钥（或证书）获取应用令牌，发起API请求操作其他用户的分类。

方案2：保留ROPC认证并调整权限 #

若必须使用ROPC，需完成以下配置：

• 在Azure AD中为应用添加MailboxSettings.ReadWrite.All委托权限；
• 由管理员同意该委托权限；
• 确保ROPC登录的API用户拥有Exchange Online的对应管理权限（如全局管理员、Exchange管理员角色，或被目标用户授予了邮箱设置的访问权限）。

内容的提问来源于stack exchange，提问作者DisplayName