配置MS Graph日历订阅返回「Access to OData is disabled」如何解决？

错误原因 #

你遇到的Access to OData is disabled报错，核心原因是你的应用被Exchange Online的应用访问策略限制了资源访问权限。
你已经配置了Calendars.ReadWrite应用权限且可以正常读写用户日历，是因为应用访问策略的校验逻辑是在Exchange服务侧执行，不同接口的策略触发逻辑存在差异：普通的日历增删改查接口和订阅接口的权限校验链路不同，订阅操作会额外触发应用访问策略的强校验。

排查步骤 #

• 首先从Azure AD企业应用页面找到你的应用，复制对应的应用ID和服务主体对象ID。
• 安装Exchange Online PowerShell模块，使用租户全局管理员或Exchange管理员账号连接租户：Connect-ExchangeOnline
• 执行命令查询当前租户所有应用访问策略：Get-ApplicationAccessPolicy，检查是否存在针对你应用ID的限制策略，且策略的作用范围包含你要订阅日历的目标用户。
• 可临时创建一条允许策略验证问题：New-ApplicationAccessPolicy -AccessRight AllowAccess -AppId <你的应用ID> -PolicyScopeGroupId <目标用户的邮箱地址> -Description "临时允许应用访问目标用户日历资源"，创建后等待15分钟左右生效，再尝试调用订阅接口，如果可以正常创建，就可以确认是策略限制导致的问题。测试完成后可执行Remove-ApplicationAccessPolicy -Identity <策略ID>删除临时测试策略。
• 如果排查后没有配置相关应用访问策略，可联系租户管理员检查Exchange Online组织配置中是否禁用了第三方应用对OData接口的访问权限，该场景出现概率极低。

应用访问策略相关问题解答 #

是否和该问题相关？ #

直接相关，这是Graph订阅Exchange类资源（日历、邮件等）时报该错误的最常见诱因。

是否仅能通过PowerShell操作？ #

是的，目前该策略仅支持通过Exchange Online PowerShell模块进行增删改查操作，没有其他公开的配置入口。

为什么无法在Azure控制台配置？ #

应用访问策略是Exchange Online服务的专属权限控制能力，不属于Azure AD的通用权限配置体系，它的校验逻辑完全在Exchange服务侧执行，和Azure AD的权限授予逻辑是独立的，因此暂时没有同步到Azure控制台的配置界面。

内容的提问来源于stack exchange，提问作者JHH