Exchange条件访问策略导出脚本遇403禁止错误求助

我正在编写脚本导出Microsoft Exchange中的条件访问策略，使用的脚本如下：

#Export your Conditional Access policies to a JSON file for backup.
$Parameters = @{
ClientID = 'xx'
ClientSecret = 'xx'
FilePath = 'my folder'
}

Export-DCConditionalAccessPolicyDesign @Parameters

注：Client ID和Client Secret填写正确。执行脚本时弹出凭据输入窗口，输入凭据并授权后，出现错误：Invoke-RestMethod : 远程服务器返回错误: (403) Forbidden。经排查疑似认证问题，但未找到解决方案，已尝试部分凭据验证工具未果，恳请帮助。

• 检查应用注册权限与管理员同意
  对应ClientID的Azure AD应用注册必须配置正确的Microsoft Graph应用权限，且完成管理员同意：
  • 至少需要添加Policy.Read.All权限（用于读取条件访问策略），若需导出完整设计细节，可能还需Directory.Read.All
  • 权限类型必须选应用权限，而非委派权限——因为你使用ClientSecret做服务端身份认证，委派权限不适用这种场景
• 强制指定认证方式
  脚本中已提供ClientSecret但仍弹出凭据窗口，说明该cmdlet可能默认尝试委派认证。尝试在参数哈希表中添加强制指定应用认证的参数，比如：

  $Parameters = @{
  ClientID = 'xx'
  ClientSecret = 'xx'
  FilePath = 'my folder'
  AuthenticationMethod = 'ClientSecret' # 具体参数名需参考cmdlet文档
  }
  

• 验证ClientSecret状态
  确认Azure AD应用注册中的该ClientSecret未过期、未被禁用，可在Azure门户的「应用注册-证书和密码」页面查看状态
• 检查登录账号的角色权限
  弹出窗口中输入的账号必须具备全局管理员或条件访问管理员角色，否则即使应用权限正确，账号自身权限不足也会触发403
• 排查环境限制策略
  检查Azure AD中是否有针对该应用或登录账号的条件访问策略，限制了当前执行脚本的IP、设备类型；同时确认执行脚本的网络未被Azure AD的安全规则拦截

内容的提问来源于stack exchange，提问作者Gerard