无Power BI Embedded时，为无Azure AD外部用户嵌入Power BI仪表板的方案咨询

问题1：单个Pro许可证结合RLS嵌入仪表板？ #

不行。核心原因如下：

• Power BI的用户拥有嵌入模式要求每个访问用户必须持有Pro许可证且属于Azure AD（或B2B来宾用户），外部无Azure AD账户的用户无法通过身份验证环节，RLS仅能控制数据行级可见性，无法绕过身份权限要求。
• 若尝试应用拥有嵌入模式（通过服务主体生成令牌），该模式必须依赖Power BI Embedded或Premium Capacity，单个Pro许可证不支持此类嵌入场景，你的预算限制也无法覆盖容量成本。

问题2：无需单个Pro许可证，通过REST API安全集成？ #

不存在这种方式。所有安全的Power BI嵌入场景（排除无认证的Publish to Web）都必须满足以下任一条件：

• 每个访问用户持有Pro/Premium许可证（用户拥有模式）；
• 拥有Power BI Embedded或Premium Capacity（应用拥有模式）。
  REST API调用Power BI嵌入接口时，无论哪种模式都依赖上述权限基础，没有无许可证、无容量的安全集成路径。

问题3：成本可控的替代方案（避免敏感数据暴露） #

结合你的预算和需求，以下是可行的低成本方案：

方案1：Azure AD B2B来宾用户+按需Pro许可证 #

• 操作逻辑：将外部客户邀请为Azure AD B2B来宾用户（无需他们拥有Azure AD账户，用自有邮箱即可登录），仅为需要访问仪表板的用户分配Power BI Pro许可证。
• 成本优势：如果外部客户数量较少，按需购买Pro许可证的成本可能低于Power BI Embedded的容量费用。
• 安全集成：配置RLS控制每个客户的数据可见性，通过OAuth2实现平台自有认证与Azure AD B2B的单点登录（SSO），用户在平台登录后可直接访问嵌入的仪表板。

方案2：Power BI Embedded A系列容量（按使用付费） #

• 操作逻辑：采购最低规格的Power BI Embedded A1容量（成本较低），采用应用拥有嵌入模式：
  1. 在Azure中创建服务主体，赋予其Power BI工作区的访问权限；
  2. 平台自有认证系统验证用户身份后，调用Power BI REST API生成包含RLS上下文的嵌入令牌；
  3. 在平台页面中嵌入仪表板，用户无需Azure AD账户或Pro许可证。
• 成本优势：A1容量适合访问量不大的场景，按月付费的成本可能低于为大量用户购买Pro许可证。

方案3：静态报表导出（适合非实时场景） #

• 操作逻辑：定期将Power BI报表导出为加密的HTML或PDF文件，在平台内对已认证的外部用户展示静态内容。
• 限制：无交互性，数据非实时，仅适合对数据时效性要求低的场景，但完全避免了Power BI服务的权限依赖，成本最低。

内容的提问来源于stack exchange，提问作者that_girl