使用ClientSecretCredential访问Outlook共享日历的权限与报错问题

1. 修正租户参数，切换至正确组织租户 #

你用的adminconsent链接里{tenant}参数大概率填错了，导致跳转到个人账户对应的"Microsoft Services"租户，引发身份不匹配报错。按以下步骤修正：

• 登录Azure门户，切换到你那个拥有共享日历编辑权限的账户所在的组织租户，不要停留在个人租户。
• 从Azure AD「概述」页面复制正确的租户ID（或租户域名，比如yourcompany.com），替换链接里的{tenant}占位符。
• 用组织租户的管理员账户（需具备全局管理员、云应用管理员或应用管理员权限）重新访问修正后的链接，完成管理员同意操作。

2. 解决API权限页无管理员同意按钮的问题 #

如果你的应用注册在个人Microsoft账户的"Microsoft Services"租户里，这个页面本来就不会显示管理员同意按钮——个人租户没有管理员角色。正确操作：

• 删除当前个人租户里的应用注册，重新在组织租户内注册机密客户端应用。
• 配置API权限时，选择Microsoft Graph的应用权限（比如Calendars.ReadWrite，适配无需OAuth的客户端凭据流），配置完成后就能看到管理员同意按钮。

3. 解决Azure门户用户页面按钮禁用的问题 #

按钮禁用是因为当前账户在对应租户内没有用户管理权限：

• 如果是在个人租户，这是正常现象，个人租户不支持创建/邀请外部用户，必须切换到组织租户操作。
• 如果是在组织租户，联系IT管理员给你的账户分配「用户管理员」或「全局管理员」权限，即可解锁用户操作按钮。

4. 修复代码报错The identity of the calling application could not be established. #

这个错误属于客户端身份验证失败，检查以下几点：

• 确认代码里的tenantId、clientId是组织租户的正确值，而非个人租户的信息。
• 确认机密客户端的clientSecret（或证书）有效、未过期，且与应用注册「证书和密码」页的配置一致。
• 确认已完成管理员同意，应用权限已成功授予（可在Azure AD「企业应用」中找到你的应用，查看「权限」页确认）。
• 用客户端凭据流获取token时，确保请求的scope为https://graph.microsoft.com/.default，这是应用权限的标准scope。

内容的提问来源于stack exchange，提问作者mahdikmg