Power BI行级安全(RLS)导致数据空白，寻求调试协助

问题描述 #

在Power BI中配置行级安全(RLS)后，使用Desktop的「以角色身份查看」功能测试时，所有可视化内容变为空白，事实表无记录返回。数据模型关系配置看似正确，但RLS生效后无法筛选出用户对应的承包商数据。

数据模型与关系配置 #

表结构 #

• Roles_Email（RLS用户-承包商映射表）
  • 用户邮箱：唯一用户标识
  • 承包商名称：用户可访问的承包商
  • 角色：页面权限标识
• Bridge_Contractor（桥接表，DAX计算生成）

  Bridge_Contractor = 
  FILTER(
      DISTINCT (
          UNION (
              SELECTCOLUMNS(Roles_Email, "Contractor Name", [Contractor Name]),
              SELECTCOLUMNS(Fact_Table, "Contractor Name", [Contractor A]),
              SELECTCOLUMNS(Fact_Table, "Contractor Name", [Contractor B])
          )
      ),
      NOT(ISBLANK([Contractor Name]))
  )
  

• Fact Table（业务事实表）
  • Contractor A / Contractor B：关联的承包商字段
  • 其他业务字段：项目ID、收入等
• Page_Roles（页面权限表）
  • Role字段：定义用户可访问的页面

关系配置 #

RLS规则 #

在Roles_Email表上配置的RLS规则：

[User Email] = USERPRINCIPALNAME()

已完成的调试操作 #

• ✅ 确认所有关系已启用双向交叉筛选
• ✅ 验证Bridge_Contractor表包含正确的承包商名称
• ✅ 移除Fact Table和Bridge_Contractor的RLS规则，问题仍存在
• ✅ 手动筛选承包商可正常返回数据，但RLS生效后仍空白
• ✅ 尝试修改RLS规则为[User Email] = USERPRINCIPALNAME() && NOT(ISBLANK([Contractor Name]))，无效

问题原因分析 #

1. 双向筛选的闭环冲突：RLS过滤Roles_Email后，双向筛选会反向作用于Bridge_Contractor，导致桥接表被过滤后没有能匹配Fact Table的记录，最终事实表无数据返回。
2. USERPRINCIPALNAME()匹配异常：测试时输入的邮箱与Roles_Email中的格式不一致（比如大小写、域名后缀），导致Roles_Email无匹配行，双向筛选直接清空所有关联表数据。
3. 计算表上下文限制：Bridge_Contractor作为DAX计算表，在RLS生效时，其UNION引用的Roles_Email已经被过滤，而Fact Table的筛选依赖于该桥接表，形成筛选死循环导致无数据。

解决方案 #

1. 调整关系筛选方向 #

• 将Roles_Email与Bridge_Contractor的关系改为单向筛选（从Roles_Email到Bridge_Contractor），取消双向筛选。
• 在Fact Table上添加RLS规则，通过桥接表关联筛选：

  [Contractor A] IN SELECTCOLUMNS(RELATEDTABLE(Bridge_Contractor), "Contractor", [Contractor Name])
  ||
  [Contractor B] IN SELECTCOLUMNS(RELATEDTABLE(Bridge_Contractor), "Contractor", [Contractor Name])
  

2. 修正邮箱匹配规则 #

确保测试邮箱与Roles_Email中的记录完全一致，或者使用大小写不敏感匹配：

LOWER([User Email]) = LOWER(USERPRINCIPALNAME())

3. 替换计算表为物理表 #

将Bridge_Contractor从DAX计算表改为导入的物理表，提前生成所有承包商的完整列表，避免计算表在RLS上下文的动态筛选冲突。

替代方案 #

直接在Fact Table上配置RLS #

跳过桥接表，直接在事实表上通过Roles_Email关联筛选：

EXISTS(
    Roles_Email,
    AND(
        Roles_Email[User Email] = USERPRINCIPALNAME(),
        OR(
            Roles_Email[Contractor Name] = [Contractor A],
            Roles_Email[Contractor Name] = [Contractor B]
        )
    )
)

结合页面权限设置 #

如果页面访问控制是核心需求，可在Power BI服务端配置页面权限，但注意页面权限仅控制页面可见性，无法限制数据访问，仍需配合RLS确保数据安全。

内容的提问来源于stack exchange，提问作者Nishtha Bhakta