Power BI嵌入令牌生成失败排查：迁移数据集后遇HTTP403错误

问题背景 #

• 客户使用Power BI Embedded A1容量，采用「App Owns Data」模型配置服务主体，目标是让外部电商网站已认证用户免登录查看报表
• 报表托管在嵌入式容量工作区，服务主体所在组拥有该工作区管理员权限，租户已启用相关API访问设置
• 此前数据集位于Power BI Pro工作区，服务主体拥有该工作区参与者权限，可正常调用以下接口获取嵌入令牌：

POST https://api.powerbi.com/v1.0/myorg/groups/{workspaceId}/reports/{reportId}/GenerateToken

请求体通过username字段传入客户唯一ID，用于RLS行级安全过滤用户可见数据

• 因报表显示「免费试用版本」横幅，将数据集工作区迁移至嵌入式容量并重新发布报表后，调用上述接口返回HTTP 403错误，无其他配置变更

核心问题解答 #

1. 服务主体是否需要成为容量管理员？ #

不需要。服务主体仅需拥有报表所在工作区、数据集所在工作区的管理员/成员权限即可。但需确认：

• 迁移后的数据集工作区，已将服务主体正确添加为管理员或成员（即使报表与数据集在同一嵌入式容量工作区，也要确保权限同步生效）
• 嵌入式容量已开启「允许服务主体访问」：进入Power BI管理门户 > 容量设置 > 对应A1容量 > 勾选「允许服务主体访问此容量」

2. 服务主体是否需要分配Power BI许可证？ #

不需要。在「App Owns Data」模型下，服务主体无需Power BI Pro或Premium许可证，仅依赖嵌入式A1容量的算力即可。但需确保：

• 报表和数据集均已部署到关联A1容量的工作区，检查工作区设置的「容量分配」是否为目标A1容量
• 重新发布报表时，已正确选择嵌入式容量工作区，且数据集已更新为迁移后的版本

额外排查建议 #

• 核对GenerateToken请求参数：确认迁移后报表、数据集的ID是否正确更新，username字段格式符合RLS规则要求
• 验证服务主体API权限：确保Azure AD中已为服务主体授予「Power BI Service API」的Report.ReadWrite.All或Report.Read.All权限，且完成管理员同意
• 查看审计日志：通过Power BI管理门户的审计日志，搜索服务主体的GenerateToken请求，获取403错误的具体原因（如权限不足、容量未授权等）

内容的提问来源于stack exchange，提问作者Jazza