Microsoft Teams租户侧载机器人403 BotDisabledByAdmin问题及权限诉求

问题背景 #

我们把自定义开发的机器人作为Teams租户侧载应用上传到客户的租户环境，并且已经安装到了多个Teams团队中。一开始机器人能正常给用户发送消息，但最近尝试给从未和机器人交互过的新用户发消息时，突然触发了403错误，错误码是BotDisabledByAdmin。我们排查了应用权限策略和全局设置，一开始没发现任何异常配置。

问题根源定位 #

后来终于找到问题所在了：在Teams的应用权限策略选项卡中，我们设置了“仅允许特定用户安装应用”，但没想到这个设置其实同时管控了安装权限和交互权限。如果某个用户对应的权限策略里“自定义应用”是关闭状态，哪怕机器人已经安装在他所在的团队里，他也没办法和机器人收发消息。

不得不说这个权限对话框的描述太误导人了，安装和交互明明是两个完全不同的操作，微软真的应该优化一下这里的说明，不然很容易踩坑。

当前测试进展 #

目前我们正在测试给所有用户开启权限策略中的“自定义应用”选项，不过这个配置生效有大约24小时的延迟，等明天生效后我会更新测试结果。

核心诉求 #

我们最终想要实现的目标是：

• 已安装机器人的团队成员可以正常和机器人交互（包括私信、点击按钮、接收推送消息）
• 同时禁止所有用户将这个租户侧载应用安装到新的Teams团队中

内容的提问来源于stack exchange，提问作者Konrad