使用Microsoft Graph客户端凭据模式获取组日历视图权限被拒问题

首先可以明确：客户端凭据（Client Credentials）模式是可以拉取组日历事件的，你的报错大概率是应用权限配置的问题，和认证模式本身无关。

两种认证模式的核心差异 #

你用Password Grant能正常访问，是因为这种模式属于委托权限（Delegated Permissions）——它模拟了某个具体用户的身份去调用接口，只要这个用户本身有访问该组日历的权限（比如是组成员或被授予了日历访问权限），就能成功请求。

而Client Credentials模式属于应用权限（Application Permissions）——它是应用本身的身份在调用接口，不需要依赖任何用户的上下文，所以必须给你的应用单独分配对应的应用权限，并且必须由管理员完成权限同意操作。

你遇到的具体问题原因 #

你能调用/users、/groups、/devicemanagement/manageddevices，说明你的应用已经配置了这些接口对应的应用权限（比如User.Read.All、Group.Read.All、DeviceManagementManagedDevices.Read.All），但缺少组日历相关的应用权限，导致调用/groups/{id}/calendarview时被拒绝。

解决步骤 #

1. 检查并添加正确的应用权限 #

登录Azure AD门户，找到你的应用注册，进入「API权限」页面：

• 点击「添加权限」→ 选择「Microsoft Graph」→ 选择「应用权限」
• 搜索并添加以下权限中的任意一个（根据你的需求选择，遵循最小权限原则）：
  • Calendars.Read：允许应用读取所有组和用户的日历
  • Calendars.ReadWrite：允许应用读写所有组和用户的日历
  • Group.Read.All：允许应用读取所有组的信息（包括组日历）
  • Group.ReadWrite.All：允许应用读写所有组的信息（包括组日历）

2. 完成管理员权限同意 #

添加权限后，必须点击「授予管理员同意」按钮（需要全局管理员或对应的权限管理员权限）。这一步是客户端凭据模式的必要操作——应用权限无法由普通用户同意，必须管理员确认。

3. 重新获取令牌并测试 #

权限更新后，旧的访问令牌不会包含新权限，所以需要重新获取Client Credentials令牌，再调用calendarview接口。

PowerShell示例代码 #

获取Client Credentials令牌 #

$tenantId = "你的租户ID"
$clientId = "你的应用ID"
$clientSecret = "你的应用密钥"

$tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
$tokenParams = @{
    grant_type    = "client_credentials"
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
}

$tokenResponse = Invoke-RestMethod -Uri $tokenEndpoint -Method Post -Body $tokenParams
$accessToken = $tokenResponse.access_token

调用组日历视图接口 #

$groupId = "你的组ID"
# 设置查询的时间范围，这里是过去7天到未来7天
$startTime = (Get-Date).AddDays(-7).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
$endTime = (Get-Date).AddDays(7).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
$calendarViewEndpoint = "https://graph.microsoft.com/v1.0/groups/$groupId/calendarView?startDateTime=$startTime&endDateTime=$endTime"

$requestHeaders = @{
    Authorization = "Bearer $accessToken"
}

try {
    $calendarEvents = Invoke-RestMethod -Uri $calendarViewEndpoint -Headers $requestHeaders -Method Get
    Write-Output "成功获取组日历事件："
    $calendarEvents.value | Select-Object Subject, Start, End
} catch {
    Write-Error "调用失败：$($_.Exception.Message)"
}

额外注意事项 #

• 如果你只需要读取特定组的日历，优先选择Calendars.Read权限，比Group.Read.All更精准。
• 确认你的应用注册没有被条件访问策略限制访问特定组或Graph API。

内容的提问来源于stack exchange，提问作者bickyz