使用服务主体的PowerBI AppOwnsData示例应用报401未授权错误排查

• 确认租户设置的安全组范围是否准确：虽然开启了“允许服务主体使用Power BI API”并关联了安全组，但要检查服务主体是否真正加入目标组——比如动态组的规则是否匹配服务主体属性，手动添加的是否已同步生效，别误选了其他同名组。
• 验证服务主体类型：必须是Azure AD应用注册生成的标准服务主体，用户托管标识、管理组关联的特殊服务主体可能不被Power BI的租户开关覆盖。
• 等待权限/设置生效：Azure AD和Power BI的配置变更通常有15-30分钟的延迟，刚修改完别立刻测试，等一段时间再验证。
• 检查工作区权限级别：给服务主体或安全组的权限不能是仅“查看者”，AppOwnsData场景至少需要工作区成员及以上权限（管理员、成员、参与者），部分API操作需要更高权限。
• 确认API权限类型：应用注册里必须配置应用权限（而非委托权限），比如Report.ReadWrite.All、Workspace.ReadWrite.All这类带“应用”标记的权限，委托权限仅适用于用户登录场景，服务主体模式不生效。
• 检查token获取流程：获取token时必须用client_credentials授权流，请求的scope必须是https://analysis.windows.net/powerbi/api/.default，scope错误会导致token无有效Power BI权限。
• 排查条件访问策略：租户的Azure AD条件访问可能限制了服务主体的访问，比如要求特定IP范围、阻止非信任位置访问，去条件访问规则里检查是否有针对服务主体的拦截策略。
• 确认工作区状态：如果工作区处于“已暂停”或异常状态，服务主体也无法正常访问，先确保工作区是活跃可用的。

内容的提问来源于stack exchange，提问作者swat