如何实现Blazor应用跨租户授权访问PowerBI数据？

核心问题分析 #

当前问题根源在于令牌获取的Authority构造错误，加上跨租户场景下应用权限的授权流程未完成，导致无用户上下文的应用令牌无法访问目标租户的PowerBI资源。

关键修正步骤 #

1. 修正Authority构造逻辑 #

你把AuthorityUrl中的organizations替换为ClientId是错误的，正确的Authority必须使用目标租户的TenantId（即其他组织的Entra租户ID）。代码修正示例：

// 替换为目标租户的TenantId，而非你的应用ClientId
string targetTenantId = "<目标租户的TenantId>";
string tenantSpecificUrl = $"https://login.microsoftonline.com/{targetTenantId}/";

var clientApp = ConfidentialClientApplicationBuilder
    .Create(options.Value?.ClientId)
    .WithClientSecret(options.Value?.ClientSecret)
    .WithAuthority(tenantSpecificUrl)
    .Build();

备注：如果需要支持多个租户，可通过用户登录时获取的租户ID动态填充，或让目标租户管理员提供其TenantId。

2. 确保应用权限配置正确 #

• 在你的应用注册中，PowerBI相关权限必须选择应用权限（而非委派权限），例如Workspace.Read.All、Report.Read.All等。
• 目标租户的Entra管理员必须对这些应用权限完成管理员同意：可通过企业应用页面的「权限」选项卡发起同意，或使用管理员同意链接操作。

3. 完善PowerBI侧授权 #

• 在目标租户的PowerBI工作区中，将该企业应用（服务主体）添加为工作区管理员/成员。
• 确认目标租户的PowerBI管理员已在PowerBI管理门户中启用服务主体访问：进入「租户设置」→「开发人员设置」→勾选「允许服务主体使用PowerBI API」。

4. 优化令牌获取的异步逻辑 #

避免使用.Result同步阻塞，改用异步调用：

AuthenticationResult authenticationResult = await clientApp
    .AcquireTokenForClient(options.Value?.ScopeBase)
    .ExecuteAsync();

补充说明 #

你的应用已设置为多租户（TenantId为organizations），其他用户登录后创建的企业应用就是该应用在目标租户的服务主体实例。但无用户上下文的应用令牌流（Client Credentials）必须经过目标租户管理员的应用权限管理员同意，否则会返回未授权错误。

内容的提问来源于stack exchange，提问作者Thomas Monte