Microsoft graph API - несанкционированная ошибка при подписке на любой календарь

Я прошел через классический поток oAuth с разрешениями Calendars.ReadWrite и offline_access, которых должно быть достаточно для создания подписки.

Теперь я получаю список календарей пользователя (через api), и когда пытаюсь подписаться на события из любого из этих календарей с таким запросом:

POST /v1.0/me/subscriptions HTTP/1.1  Accept: */*  Content-Type: application/json    
{
    "changeType": "created,deleted,updated",
    "notificationURL": "https://...",
    "resource": "/me/calendars/{id}/events",
    "expirationDateTime": "2019-08-15T00:00Z",
    "clientState": "..." 
}

(или даже "resource": ,"/me/events")

Получаю ответ:

401 - Unauthorized: Access is denied due to invalid credentials.

You do not have permission to view this directory or page using the credentials that you supplied.

Что я здесь делаю не так?