已配置Bookings.ReadWrite.All应用权限，调用Graph API Bookings端点仍未授权

我们正在构建一个使用Microsoft Graph API和应用权限（application permissions）来获取及更新Booking Appointments的API。已在Azure中为应用授予了Bookings.ReadWrite.All的管理员同意，但使用应用权限调用端点时收到Unauthorized错误，使用委派权限（delegated permissions）则可正常访问。

调用代码 #

var result = await _graphServiceClient
    .Solutions
    .BookingBusinesses[_BookingCalendarId]
    .Appointments[appointmentId]
    .GetAsync();

我们尝试查询Appointments、StaffMembers和Services，均返回相同的未授权结果。

Graph Service Client构建代码 #

public AppGraphService(IConfiguration config)
{
    _config = config ?? throw new ArgumentNullException(nameof(config));
    _client = new Lazy<GraphServiceClient>(() =>
    {
        var credential = new ClientSecretCredential(
        config["AzureAd:TenantId"],
        config["AzureAd:ClientId"],
        config["AzureAd:ClientSecret"]);

        return new GraphServiceClient(credential, new[] { "https://graph.microsoft.com/.default" });
    });
}

已确认的信息 #

1. 检查Graph Client的Token，确认包含预期权限：

... 
 "roles": [
    "Bookings.ReadWrite.All",
    "OnlineMeetings.ReadWrite.All"
  ],
...

2. 提取请求URI在Graph Explorer中测试，可正常运行：

var uriinfo = _graphServiceClient
    .Solutions
    .BookingBusinesses[_BookingCalendarId]
    .Appointments[appointmentId]
    .ToGetRequestInformation();

return uriinfo.URI.AbsoluteUri;

3. 通过Thunder Client获取的Token包含正确roles，但使用该Token发起请求返回500错误；使用用户Token发起相同请求则成功。获取应用Token的请求示例：

POST https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token HTTP/1.1
Host: login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded

client_id=535fb089-9ff3-47b6-9bfb-4f1264799865
&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default
&client_secret=qWgdYA....L1qKv5bPX
&grant_type=client_credentials

4. 根据2022年6月的Devblog内容，部分Bookings APIs已支持应用权限：bookingCustomer和bookingAppointment支持读写，bookingBusiness、bookingStaffMember等仅支持只读，且建议管理员使用委派权限处理相关场景。我们的场景理论上可通过应用权限调用，且已尝试v1.0和beta版本，结果一致。

疑问 #

为何应用完全无法查询Bookings端点？还可尝试哪些解决方法？是否存在类似Exchange中Application Access Policy的其他权限？

1. Booking Business的应用访问权限未启用 #

Bookings的应用权限存在隐性限制：即使应用拥有Bookings.ReadWrite.All，默认情况下目标Booking Business可能仅允许委派的用户身份访问，未对应用身份开放权限。

解决方法：

• 以Booking Business的管理员/所有者身份登录Microsoft 365管理中心，找到对应Bookings日历，进入设置 > 权限页面，检查并启用「允许应用访问」的相关选项。

2. 租户级别的应用访问策略限制 #

部分租户可能存在未公开的Bookings应用访问控制策略，即使令牌包含正确权限，应用身份仍会被拦截。

解决方法：

• 使用Microsoft Graph PowerShell模块运行以下命令，检查租户授权策略：

Get-MgPolicyAuthorizationPolicy

• 若存在限制策略，需调整配置以允许目标应用的访问权限。

3. API端点的应用权限支持存在偏差 #

即使Devblog说明支持，部分Bookings端点的应用权限支持可能未完全生效，例如单个预约资源的查询端点可能存在限制，仅批量查询端点支持应用身份访问。

解决方法：

• 尝试调用不带具体ID的批量查询端点（如/solutions/bookingBusinesses/{id}/appointments），验证是否能正常返回数据。
• 提交支持工单至Microsoft 365管理员中心，确认目标端点的应用权限支持状态。

4. 类似Exchange的Bookings应用访问控制策略 #

Bookings存在类似Exchange Application Access Policy的权限控制机制，用于限制应用身份对特定Booking Business的访问，该策略未完全在Azure门户中公开。

解决方法：

• 调用Graph API查询目标Booking Business的权限配置：

GET https://graph.microsoft.com/beta/solutions/bookingBusinesses/{id}

• 检查返回的isApplicationAccessAllowed字段，若为false，通过PATCH请求更新：

PATCH https://graph.microsoft.com/beta/solutions/bookingBusinesses/{id}
Content-Type: application/json

{
  "isApplicationAccessAllowed": true
}

5. 客户端凭据的权限范围配置问题 #

虽然使用了https://graph.microsoft.com/.default范围，部分场景下显式指定Bookings权限范围而非默认范围，可避免令牌验证的潜在问题。

解决方法：

• 修改GraphServiceClient初始化代码，显式指定权限：

return new GraphServiceClient(credential, new[] { "Bookings.ReadWrite.All" });

内容的提问来源于stack exchange，提问作者Steven Bitaxi