通过MS Graph发送邮件并配置ApplicationAccessPolicy权限限制遇阻

问题背景 #

使用MS Graph应用权限（Mail.Send）发送邮件，已通过New-ApplicationAccessPolicy配置邮件启用安全组的访问限制，Test-ApplicationAccessPolicy显示AlexW和DiegoS均授权，但DiegoS发件时报错ErrorAccessDenied: Access to OData is disabled，AlexW正常。

排查与解决步骤 #

1. 检查DiegoS邮箱的OData访问开关 #

部分邮箱可能被单独配置OData访问限制，覆盖组策略设置：

• 执行命令查询当前设置：

  Get-CASMailbox DiegoS | Select-Object ODataEnabled
  

• 如果返回结果为False，执行命令启用OData访问：

  Set-CASMailbox DiegoS -ODataEnabled $true
  

• 等待2-3分钟后重新测试发件。

2. 验证应用访问策略的准确性 #

确认策略的目标范围和权限设置无误：

• 查询当前应用的访问策略：

  Get-ApplicationAccessPolicy | Where-Object { $_.AppId -eq "你的应用注册ID" }
  

• 检查ScopeGroupId是否为目标邮件启用安全组的ID，AccessRight是否设置为AllowAccess（允许应用访问该组内的邮箱），PolicyScope是否为Users。
• 如果配置错误，先删除旧策略再重新创建：

  Remove-ApplicationAccessPolicy -Identity "策略ID"
  New-ApplicationAccessPolicy -AppId "你的应用注册ID" -PolicyScopeGroupId "安全组ID" -AccessRight AllowAccess -Description "允许应用访问指定组内邮箱发件"
  

3. 确认DiegoS已加入目标安全组 #

检查用户是否成功加入组，避免同步延迟或添加失败：

• 查询组成员：

  Get-DistributionGroupMember "目标安全组名称" | Where-Object { $_.Name -eq "DiegoS" }
  

• 如果未找到用户，重新添加并等待Exchange同步：

  Add-DistributionGroupMember "目标安全组名称" -Member DiegoS
  

4. 确认应用权限已获得管理员同意 #

在AAD应用注册的「API权限」页面，检查Mail.Send（应用类型）权限的状态是否为「已授予管理员同意」。若未授予，点击「授予管理员同意」并等待生效。

5. 刷新应用令牌并重新测试 #

强制应用获取最新的权限令牌，避免缓存的旧策略影响：

• 重启测试应用，或调用令牌端点重新获取访问令牌后再次测试发件。

6. 查看Exchange日志获取详细错误 #

若以上步骤无效，查看Exchange Online的邮件跟踪日志定位问题：

Get-MessageTrace -SenderAddress DiegoS@yourdomain.com -Start (Get-Date).AddHours(-1) | Select-Object Status, Error, MessageId, Received

根据日志中的具体错误信息进一步排查。

内容的提问来源于stack exchange，提问作者Karol Kozłowski