守护进程应用调用EWS访问本地Exchange 2013返回403权限不足求助

1. 补全本地Exchange 2013 OAuth联合配置 #

你当前使用的是Azure AD签发的令牌，默认不被本地Exchange 2013信任，需要先完成联合身份配置：

• 先将Exchange 2013升级到CU19及以上版本，低版本累积更新存在Azure AD OAuth兼容缺陷
• 执行PowerShell命令确认EWS虚拟目录已启用OAuth认证：

Get-EwsVirtualDirectory | FL Identity,OAuthAuthentication

如果返回的OAuthAuthentication值为False，执行如下命令开启：

Set-EwsVirtualDirectory -Identity "你的服务器名\EWS (Default Web Site)" -OAuthAuthentication $true

• 完成Exchange与Azure AD的OAuth信任配置，将Azure AD添加为本地Exchange的可信令牌颁发者，可使用官方提供的PowerShell配置脚本快速完成该操作，配置时需关联你在Azure AD注册的应用客户端ID。

2. 配置本地Exchange端应用模拟权限 #

你在Azure AD授予的权限仅适用于云端Office 365服务，本地Exchange需要单独配置模拟权限：

• 打开Exchange命令行管理程序，执行如下命令为你的注册应用授予应用模拟权限：

New-ManagementRoleAssignment -Name:EWSAppImpersonation -Role:ApplicationImpersonation -User:你注册应用对应的服务主体标识

• 如需限制权限范围，可创建管理范围指定仅允许模拟特定用户/资源邮箱。

3. 修正令牌请求参数 #

• 确认请求令牌时的scope参数正确，本地EWS的scope需填写https://mail.TENANT.URL/.default，不能使用云端Office 365的scope值
• 确认令牌的aud（受众）值与你本地EWS的访问地址完全一致，包含协议、域名、端口（如有非默认端口），地址不匹配会被Exchange判定为无效令牌。

4. 附加校验项 #

• 确认你调用的EWS接口地址为https://mail.TENANT.URL/EWS/Exchange.asmx，地址错误会触发权限校验失败
• 确认目标邮箱resource@tenant.url在本地Exchange中处于激活可用状态，无禁用、软删除等异常
• 确认Azure AD注册的full_access_as_app、Calendars.ReadWrite.All为应用权限，且已经过租户管理员完成同意授权。

内容的提问来源于stack exchange，提问作者janh-kramer