Mac版Outlook调用getUserIdentityTokenAsync返回AccessRestricted错误排查

错误与环境信息 #

客户遇到的错误详情：

{
  "status": "failed",
  "error": {
    "name": "AccessRestricted",
    "message": "Intern protokolfejl: '-2147467259'.",
    "code": 9017
  },
  "diagnostics": {
    "InvokeCodeResult": -2147467259
  }
}

客户的Outlook环境：

{
  "host": "Outlook",
  "version": "16.72.409.0",
  "platform": "Mac"
}

结合你使用相同版本Outlook（不同租户）可正常运行的情况，以下是可能的原因：

• 租户OAuth权限配置缺失
  该错误核心是权限受限，由于你的测试租户能正常运行，说明问题集中在客户租户的权限设置上。getUserIdentityTokenAsync需要租户管理员配置对应的OAuth权限，可能客户租户未授权加载项获取用户身份令牌的权限，或者加载项的应用注册信息在租户中未正确配置权限范围。

• 租户条件访问策略限制
  客户租户可能设置了严格的条件访问规则，比如要求设备必须合规、限制特定地理位置访问，或者针对Outlook加载项的令牌请求设置了拦截策略，导致加载项无法正常获取身份令牌。

• 目标邮箱账户的权限限制
  客户使用的邮箱账户可能被租户管理员加入了受限组，或者单独禁用了该账户通过加载项获取身份信息的权限，而你的测试账户无此类限制。

• Exchange Online加载项配置异常
  客户租户的Exchange Online中，加载项的身份验证配置可能存在问题，比如未正确关联加载项的应用ID，或者加载项的权限策略未正确生效，导致令牌生成流程中断。

内容的提问来源于stack exchange，提问作者BoKDamgaard