面向特定客户部署嵌入式Power BI报表：免费发布与登录配置

针对你持有Power BI Premium许可证的情况，采用Embed for your Customers方案即可长期免费实现特定客户安全访问，无需依赖60天试用，以下是分步配置流程：

一、核心方案说明 #

Embed for your Customers是Power BI Premium自带功能，仅消耗你的Premium容量，支持外部客户（非内部AD用户）通过独立身份验证访问，能精准管控权限，完全适配长期使用需求。

二、分步配置安全登录与权限控制 #

1. 注册Azure AD应用（用于客户身份验证） #

• 登录Azure门户，进入「Azure Active Directory」→「应用注册」→「新注册」
• 名称填“Power BI客户嵌入应用”，账户类型选「任何组织目录中的账户和个人Microsoft账户」（覆盖客户各类登录方式）
• 重定向URI选「单页应用(SPA)」，填入你嵌入报表的前端域名（比如https://your-app-domain.com），完成注册
• 记下应用的客户端ID，后续配置会用到

2. 配置Power BI API权限 #

• 在Azure应用注册的「API权限」→「添加权限」，搜索“Power BI Service”
• 添加Delegated权限：Report.Read.All、Workspace.Read.All（按最小权限分配，避免多余权限）
• 点击「授予管理员同意」（你的租户管理员授权即可）

3. 给Azure应用分配Power BI工作区权限 #

• 打开Power BI服务，进入目标工作区，点击「访问权限」→「添加人员」
• 搜索你刚注册的Azure应用名称，分配「成员」权限（足够客户查看报表）
• 取消勾选「允许此用户向其他用户授予访问权限」，防止权限扩散

4. 前端集成安全登录与报表嵌入 #

• 用MSAL.js（Microsoft身份验证库）实现客户登录：

  const msalInstance = new msal.PublicClientApplication({
    auth: {
      clientId: "你的Azure应用客户端ID",
      authority: "https://login.microsoftonline.com/common",
      redirectUri: "你的前端域名"
    }
  });
  

• 客户访问嵌入页面时，触发MSAL登录流程，让客户用自己的Microsoft账户（如Outlook）或组织账户登录
• 登录成功后获取访问令牌，加载报表：

  const embedConfig = {
    type: "report",
    id: "你的报表ID",
    embedUrl: "你的报表嵌入URL", // 从Power BI服务报表的「嵌入」选项中复制
    accessToken: "获取到的Power BI访问令牌",
    tokenType: models.TokenType.Embed
  };
  const report = powerbi.embed(document.getElementById("reportContainer"), embedConfig);
  

5. 数据安全防控措施 #

• 最小权限原则：不管是Azure应用还是客户，只分配必要的报表/工作区权限，绝不开放全量数据访问
• 令牌有效期管控：MSAL默认令牌有效期短，配置刷新令牌自动续期，避免长期有效令牌泄露
• 传输加密：确保前端页面用HTTPS部署，Power BI静态数据已加密，无需额外操作
• 访问监控：在Azure AD「登录日志」查看客户登录记录，在Power BI服务「活动日志」监控报表访问，及时发现异常

三、解决跨租户访问受阻问题 #

• 优先引导客户使用个人Microsoft账户登录，无需客户租户做任何配置，直接即可使用
• 若客户必须用组织账户，可让他们的租户管理员将你的Azure应用添加到「企业应用程序」，或配置Azure AD B2B协作（但需要客户配合，不建议优先选择）

内容的提问来源于stack exchange，提问作者Vkas