Power BI报表导出PDF时非管理员身份触发Forbidden错误排查

我有一个基于Azure Analysis Services表格模型（tabular cube）的Power BI报表，通过C#控制台应用调用Power BI API将其导出为PDF，同时传入请求用户的EffectiveIdentity。使用管理员账号邮箱作为有效身份时导出成功，但使用自己的邮箱时执行ExportToFileAsync()报错：

Operation returned an invalid status code 'Forbidden'

我的代码： #

PowerBIReportExportConfiguration powerBIReportExportConfiguration = new PowerBIReportExportConfiguration
{
    Settings = new ExportReportSettings
    {
        Locale = "en-us",
        IncludeHiddenPages = false
    }
};

EffectiveIdentity effectiveIdentity = new EffectiveIdentity(
        username: myEmail,
        datasets: new List<string> { myDataSetID },
        roles: new List<string> { myRoleName }
        );
powerBIReportExportConfiguration.Identities = new List<EffectiveIdentity> { effectiveIdentity };

ExportReportRequest exportRequest = new ExportReportRequest
{
    Format = FileFormat.PDF,
    PowerBIReportConfiguration = powerBIReportExportConfiguration
};

var client = new PowerBIClient(new Uri(ApiUrl), tokenCredentials);

var export = await client.Reports.ExportToFileAsync(myGroupID, myReportID, exportRequest);

已确认的前提条件： #

• 我和管理员账号均为报表所在工作区的管理员
• 工作区拥有Fabric容量许可，支持导出功能
• 已启用PDF文档导出等相关设置
• 两人均持有Power BI Pro许可证
• 我的Entra账号可正常访问报表和模型，Azure层面权限无问题

可能的原因排查方向： #

• 数据集ID不匹配：确认传入的myDataSetID是报表实际连接的Azure Analysis Services表格模型的ID，而非Power BI自动生成的内部数据集ID。基于AAS模型的报表，EffectiveIdentity中的数据集ID必须指向AAS模型本身。
• 角色名称校验不通过：检查myRoleName是否与AAS表格模型中定义的角色名称完全一致（区分大小写、空格等细节），AAS角色名称是严格匹配的。
• AAS模型角色权限不足：即使你能正常访问报表，AAS模型的角色可能未授予导出所需的权限，或者角色的行级过滤规则导致导出时无数据触发权限拦截。需要确认你的账号在AAS模型角色中的权限配置。
• API权限范围不足：检查tokenCredentials对应的应用注册权限，是否包含Report.ReadWrite.All或Report.Export.All等必要权限。管理员账号的Token可能拥有更完整的权限范围。
• EffectiveIdentity参数缺失：如果AAS模型使用了自定义数据进行权限控制，尝试给EffectiveIdentity添加CustomData参数；或者确认是否需要指定IdentityBlob参数来完成身份传递。
• 条件访问策略限制：检查你的账号是否被条件访问策略限制了API调用，而管理员账号被排除在该策略之外。
• 工作区导出权限的隐性限制：虽然是工作区管理员，但可能存在针对特定用户的导出权限限制，或者Fabric容量的导出配额存在用户级别的限制（管理员不受限）。

内容的提问来源于stack exchange，提问作者Ben Schmalz