M365 备份还原报 EWS 403？微软正在关 EWS，两级开关加应用白名单五步救回来

备份任务突然批量报权限错，先看 EWS

某天开始，ActiveProtect Manager、Active Backup for Microsoft 365（ABM365）或 C2 Backup 的 Microsoft 365 备份、还原陆续失败，报「您没有权限访问服务器上的文件」「EWS API 不可用，或访问被拒绝」，C2 Backup 上则直接是「错误：(403)：Forbidden」。凭据没改过、任务没动过——这不是你的配置坏了，是 Microsoft 正在逐步停用 EWS：EWS 访问计划从 2026 年 10 月开始被阻止，部分租户会更早受影响；2026 年 10 月 1 日起 Kiosk、F1、F3 许可证也无法再用 EWS API（要备份这些用户，得先把许可证换成含 EWS 访问的档位）。

麻烦在于 Microsoft Graph API 还没覆盖全部场景：存档邮件、群组邮件与群组日历的备份还原、托管在中国区域的服务，目前仍依赖 EWS。所以即便套件已升到最新版，租户里手动放行 EWS 仍是必修课。

五步手动启用 EWS

第一步，取应用 ID。 APM：进目标租户，操作 → 编辑租户；ABM365：选中任务，编辑 → 常规；C2 Backup：进任务，点应用程序凭证。复制那串应用程序 ID 备用。

第二步，连上租户。 管理员 PowerShell 执行：

Install-Module -Name ExchangeOnlineManagement
Connect-ExchangeOnline

第三步，把应用 ID 加进 EwsAllowedAppIDs：

$current = (Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Select-Object -ExpandProperty EwsAllowedAppIDs)
$newAppId = "{Your Application ID}"
$updated = @($current, $newAppId)
Set-OrganizationConfig -EwsAllowedAppIDs ($updated -join ",")

两个例外要知道：该功能微软还在分批铺开，命令报「找不到参数 EwsAllowedAppIDs」说明租户暂未支持，跳过此步、铺开后再补跑即可；2026 年 9 月起微软会为从未配置过的租户自动填入，但 9 月之前手动配置过、或初始配置后又新建了备份任务的，都要自己维护白名单，确保 APM、ABM365、C2 Backup 的应用 ID 都在列。

第四步，开组织级开关。 全局关了整租户都进不来：Get-OrganizationConfig | fl EWSEnabled 查看，被禁用则 Set-OrganizationConfig -EwsEnabled $true。

第五步，开邮箱级开关。 组织级开了，个别邮箱仍可能拦截，一次性全放开：

Get-CASMailbox -ResultSize Unlimited | Set-CASMailbox -EwsEnabled $true

还原邮件各有各的功课

ABM365 与 C2 Backup 的邮件还原已走 Graph：ABM365 需授予 MailboxItem.ImportExport.All 权限，C2 Backup 重新验证一次租户即可。APM 的邮件还原仍用 EWS（计划 2027 年 3 月迁 Graph），迁移前要还原邮件的，上面五步必须先做完。

迁移时间表，心里有数

日历、联系人等已迁 Graph：APM 2.0、ABM365 3.0.0、C2 Backup 2026 年 9 月更新。其余场景（如群组邮件）在 Microsoft 2027 年 4 月 1 日停用 EWS 前视 Graph 支持情况调整——Graph 跟上就迁，跟不上可能停掉对应服务的备份支持，时间表以双方更新为准。

租户级的 EWS 开关一动就是全局生效，贵州诚鑫致达科技在做 M365 备份体检时会把组织级、邮箱级两级状态一并核掉，需要的话搜「诚鑫致达」。

企业存储选型参考｜贵州诚鑫致达科技

群晖在售企业级机型速览：DS425+（4 盘位，小团队起步） · RS2423+（业务长起来平滑升级机架式）。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。