获取Power BI嵌入令牌遇401未授权，ServicePrincipalIsNotAllowedByTenantAdminSwitch问题排查

针对你遇到的ServicePrincipalIsNotAllowedByTenantAdminSwitch未授权错误，除了管理员已做的设置，还可以从以下几个方向排查：

• 确认服务主体的组归属有效性
  检查服务主体所在的安全组是否被直接添加到Power BI允许列表里。如果是嵌套组（服务主体在子组，子组在父组，父组被添加），需要确认Power BI租户是否开启了嵌套组权限继承——部分场景下仅添加父组不会自动包含子组内的服务主体，建议直接把服务主体所在的一级组加入允许列表。同时在Azure AD里核实服务主体的“所属组”，确保其中有一个组在Power BI的允许列表中。

• 核对Power BI租户设置的具体项
  管理员需要确认两个关键设置都已开启：

  1. 租户设置→开发人员设置→允许服务主体使用嵌入令牌：启用后选择包含服务主体的安全组；
  2. 租户设置→开发人员设置→允许服务主体访问Power BI API：这个是基础API访问权限，嵌入场景也需要开启。
     不要混淆这两个设置，缺一不可。

• 验证Access Token的权限范围
  生成Access Token时，权限范围必须是https://analysis.windows.net/powerbi/api/.default（客户端凭据流专用）。可以用jwt.ms解析令牌，查看roles字段是否包含所需权限（比如Report.ReadWrite.All、Workspace.ReadWrite.All，根据你的嵌入需求调整），如果权限缺失，要在Azure AD的应用注册里补充API权限并授予管理员同意。

• 检查工作区和报表的权限
  服务主体（或其所在组）必须被添加到报表所在的工作区，且权限级别至少是“成员”或“参与者”。进入Power BI工作区的“访问权限”页面，确认服务主体/组已在列表中，权限符合要求——仅租户级的允许设置不足以让服务主体访问特定工作区的报表。

• 等待设置生效延迟
  Power BI的租户设置、安全组权限变更通常需要15-30分钟才能完全生效，刚修改完就测试可能会遇到缓存问题，建议等待一段时间后再重试。

• 排查代码中的身份验证细节
  确保代码里的服务主体ID、租户ID、客户端密钥（或证书）没有拼写错误；调用GetReportInGroupAsync时传入的工作区ID和报表ID也要核对准确，资源ID错误也可能触发未授权提示。

内容的提问来源于stack exchange，提问作者Aaron Dsouza