Exchange混合部署下Graph API访问本地邮箱报404错误求助

先直接回应你的两个核心疑问：

1. 微软并没有取消预览版本地Exchange REST API的支持，这个功能目前仍在正常提供服务，你的问题大概率是由配置或同步层面的突发变化导致的。
2. Graph Explorer确实有特殊权限配置：它使用的是微软官方的第一方应用，默认拥有针对本地邮箱REST API访问的豁免权限，且其应用注册在Azure AD中具备特殊的权限设置——这些是第三方自建应用不具备的，所以它能正常访问不代表你的应用可以直接复用相同的权限逻辑。

接下来是具体的排查步骤，帮你定位并解决问题：

• 检查Exchange Server版本与核心配置：
  确保你的Exchange 2016至少是CU15及以上版本（本地REST API从该版本开始支持），并且已安装相关更新包。同时在本地Exchange PowerShell中执行：

  Get-OrganizationConfig | Select-Object OAuth2ClientProfileEnabled
  

  确认返回值为True；再检查目标邮箱的配置：

  Get-Mailbox <你的邮箱地址> | Select-Object EnableRESTAPI
  

  确保该属性为True（部分CU版本可能需要手动启用）。
• 验证应用注册的权限状态：
  虽然你请求的范围openid profile User.Read email Mail.Read是正确的，但要确认这些委派权限已经得到租户管理员的同意，且Mail.Read权限是针对Exchange的委派权限（而非仅云邮箱）。可以尝试让管理员重新同意应用权限，排除权限意外失效的可能。
• 分析令牌的关键声明：
  对比你的应用令牌和Graph Explorer令牌，除了已知的临时值差异外，重点检查：
  • aud声明是否为https://graph.microsoft.com
  • scp声明是否包含Mail.Read等你请求的权限范围
  • iss声明是否对应正确的Azure AD发行端点
• 检查Azure AD Connect同步状态：
  确认最近的同步任务没有失败，本地邮箱的核心属性（如ExchangeGuid、msExchRecipientTypeDetails）已正确同步到Azure AD——属性同步异常可能导致Graph无法识别本地邮箱的REST API支持状态。
• 尝试重新获取令牌：
  有时候令牌中的临时值异常可能导致验证问题，尝试重新走OAuth2授权流程获取新的令牌，再测试API调用。

如果以上步骤都无法解决问题，建议检查Exchange本地服务器的事件日志，查看是否有与OAuth或REST API相关的错误记录，这往往能提供更直接的问题线索。

内容的提问来源于stack exchange，提问作者Udi S.