使用OAuth 2.0连接Exchange Online时出现Error 403: Forbidden求助

1. 确认AAD应用权限配置正确 #

• 必须配置应用权限（而非委托权限），比如Calendars.Read或Calendars.ReadWrite，且已完成全局管理员/Exchange管理员同意。
• 检查路径：Azure AD门户 → 应用注册 → 目标应用 → API权限 → 确认权限类型为“应用权限”，状态显示“已授予同意”。

2. 配置Exchange Online应用访问策略 #

客户端凭证流访问EWS，除AAD权限外，还需在Exchange Online中配置允许应用访问目标会议室邮箱：

1. 连接Exchange Online PowerShell。
2. 获取应用的服务主体ID：

   Get-AzureADServicePrincipal -Filter "AppId eq '你的应用ID'"
   

   复制返回的ObjectId字段值。
3. 创建应用访问策略：

   New-ApplicationAccessPolicy -AccessRight AllowAccess -AppId <服务主体ObjectId> -PolicyScopeGroupId <会议室邮箱SMTP地址> -Description "允许应用访问该会议室日历"
   

   若需访问多个会议室，可将所有会议室加入一个邮件组，用邮件组的SMTP地址/ObjectId作为PolicyScopeGroupId。
4. 验证策略生效：

   Test-ApplicationAccessPolicy -Identity <会议室邮箱SMTP地址> -AppId <服务主体ObjectId>
   

   返回Allowed即为配置正确。

3. 开启组织级OAuth2客户端支持 #

执行PowerShell命令确保Exchange组织已启用OAuth2客户端访问：

Set-OrganizationConfig -OAuth2ClientProfileEnabled $true

4. 优化代码中的邮箱访问逻辑 #

客户端凭证流是应用以自身身份访问资源，无需使用ImpersonatedUserId，直接指定目标邮箱更简洁可靠：
修改代码中相关片段：

// 移除原ImpersonatedUserId配置，替换为指定邮箱
ewsClient.Mailbox = roomEmail;
// 保留X-AnchorMailbox头以优化路由（可选但推荐）
ewsClient.HttpHeaders.Add("X-AnchorMailbox", roomEmail);

5. 验证访问令牌的权限有效性 #

将获取到的authResult.AccessToken解析（可使用本地工具或jwt.ms），检查roles字段是否包含对应的日历权限（如Calendars.Read）：

• 若没有roles字段，说明AAD权限未正确授予或未完成管理员同意。
• 若目标权限不在roles列表中，需重新添加权限并完成管理员同意操作。

6. 兜底排查邮箱自身限制 #

• 确认会议室邮箱处于启用状态，未被设置为拒绝外部访问。
• 检查会议室邮箱的日历共享权限，确保没有低级别的权限限制覆盖应用权限（应用权限优先级更高，此步为额外验证）。

内容的提问来源于stack exchange，提问作者Rau18