Power Apps自定义连接器调用Graph API无法获取其他用户日历事件问题

1. 现有技术方案是否支持获取其他用户的日历事件？ #

完全支持。通过Canvas App自定义连接器调用Microsoft Graph读取指定非当前用户的日历事件是官方支持的成熟场景，你遇到的ErrorAccessDenied报错全部来自配置缺失或配置错误，不存在技术层面的能力限制。

2. 实现跨用户日历访问需要完成哪些配置步骤？ #

你目前两个测试场景踩的坑非常典型：场景1用基础Calendar.Read委派权限时，该权限本身仅允许读取当前登录用户自有日历，天然不支持跨用户访问；场景2用应用权限时，大概率没有完成租户级管理员同意，同时自定义连接器认证模式和权限类型不匹配，导致请求直接被拒。
对应两种权限模式的完整配置步骤如下：

委派权限模式配置步骤 #

• 进入AAD应用注册的「API权限」管理页，删除原有单独添加的Calendar.Read委派权限，新增Calendars.Read.Shared委派权限，该权限才支持读取当前登录用户有权限访问的其他用户共享日历
• 提前配置目标用户的日历共享规则：给所有需要访问该日历的Canvas App使用用户授予至少「审阅者」级别的日历访问权限，无共享授权的情况下即使权限配置正确也会返回访问拒绝
• 点击权限配置页的「授予管理员同意」按钮，完成租户层面的权限授权，避免普通用户登录时触发授权失败
• 自定义连接器的认证模式选择OAuth 2.0（Azure Active Directory），认证配置中资源URI填写https://graph.microsoft.com，匹配你租户对应的AAD令牌发放地址，确保运行时拿当前登录用户身份兑换合法的委派权限令牌

应用权限模式配置步骤 #

• 进入AAD应用注册的「API权限」管理页，在应用权限分类下添加Calendars.Read权限，注意不要选成委派权限分类下的同名权限
• 必须点击「授予管理员同意」按钮，等待权限状态显示为「已为你的租户授予」才算生效——应用权限不存在普通用户自主同意的路径，这步跳过100%会报访问拒绝
• 自定义连接器认证模式选择「服务主体认证」，正确填写应用的Client ID、Client Secret，资源URI同样配置为https://graph.microsoft.com，走Client Credential流获取应用身份令牌
• 注意：该模式下应用默认拥有租户内所有用户日历的全量读取权限，无原生细粒度访问控制，不符合最小权限原则，非必要不选

3. 业务场景应当选择哪种权限类型？ #

优先选择配置Calendars.Read.Shared的委派权限模式，原因如下：

• 权限边界更安全：仅能读取当前登录用户本身被授权访问的日历资源，不会出现应用越权拉取全租户所有用户敏感日历数据的风险
• 适配Canvas App运行逻辑：Canvas App本身以当前登录用户身份为核心运行上下文，委派权限的认证流程和Power Platform原生身份体系适配度更高，不需要额外维护服务主体的权限隔离逻辑
• 运维成本更低：后续如果要调整可访问的用户范围，只需要调整对应日历的共享权限配置即可，不需要修改AAD应用注册或自定义连接器的配置
  只有当业务要求无用户登录上下文的后台自动运行（比如定时任务批量拉取日历数据做统计）时，才考虑使用应用权限模式。

4. 当前配置遗漏的必要基础设置项 #

对照以下清单逐一排查即可定位问题：

• 权限配置类遗漏
  • 委派权限模式下错选了仅支持本人访问的Calendar.Read，未添加支持跨用户共享访问的Calendars.Read.Shared
  • 应用权限模式下未完成管理员同意流程，AAD中权限状态仍为「待管理员同意」
  • 未给访问主体（委派模式下的登录用户、应用模式下的服务主体）配置目标日历的对应访问授权
• 自定义连接器配置类遗漏
  • 认证模式和所选权限类型不匹配：比如用应用权限时配置了用户交互式登录的OAuth流，用委派权限时配置了Client Secret直连的服务主体认证
  • 认证配置中的资源URI填写错误，未指定为https://graph.microsoft.com，导致拿到的访问令牌不是为Graph API签发的，直接被鉴权拦截
  • 接口请求未正确携带Authorization请求头，或头格式不符合Bearer <令牌>的规范
• 快速校验技巧
  调试时可以把自定义连接器拿到的访问令牌解码，查看委派权限对应的scp声明、应用权限对应的roles声明，确认声明中包含你配置的日历读取权限后再发起请求，能快速定位是不是令牌本身未携带正确权限。

你测试时返回的错误样例如下，属于典型的令牌权限不匹配或未授权错误：

{
"error": {
"code": "ErrorAccessDenied",
"message": "Access is denied. Check credentials and try again."
}
}

内容的提问来源于stack exchange，提问作者Yuvaraj T