使用ADF从Power BI取元数据存Snowflake时API访问403错误求助

核心原因 #

你调用的admin/activityevents属于租户级管理员API，仅靠普通的数据集/报表权限和启用「Service principals can use Fabric APIs」不足以访问，必须满足管理员级别的权限要求。

解决方案 #

• 完成AuditLog.Read.All权限的管理员同意流程
  该权限是访问Power BI活动日志API的强制要求，你之前添加了权限但未完成管理员同意步骤，导致权限未生效。联系全局管理员或Power BI管理员，在Azure AD中为你的应用完成权限同意，此权限与现有配置无冲突。

• 给服务主体分配管理员角色
  启用「Service principals can use Fabric APIs」仅允许服务主体调用普通API，管理员级API额外需要角色授权：

  • 可分配Power BI Service Administrator角色，或更精细化的Audit Log Administrator角色（仅针对审计日志访问）
  • 分配路径：Azure AD → 角色和管理员 → 找到对应角色 → 添加成员 → 选择你的服务主体

• 验证权限是否生效
  用Postman测试权限状态：

  1. 获取服务主体token：

     curl -X POST "https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token" \
     -H "Content-Type: application/x-www-form-urlencoded" \
     -d "client_id={client-id}&scope=https://analysis.windows.net/powerbi/api/.default&client_secret={client-secret}&grant_type=client_credentials"
     

  2. 调用活动日志API：

     curl -X GET "https://api.powerbi.com/v1.0/myorg/admin/activityevents?startDateTime=2024-12-15T07:55:00.000Z&endDateTime=2024-12-30T07:55:00.000Z" \
     -H "Authorization: Bearer {access-token}"
     

  若返回正常数据，再回到ADF中复用该逻辑即可。

• 确认ADF配置一致性
  确保ADF的REST链接服务使用的是已完成权限配置的服务主体，测试连接成功仅代表能正常获取token，不代表具备管理员API的访问权限。

内容的提问来源于stack exchange，提问作者YAHO5