PowerBI REST API PowerBINotAuthorizedException权限问题求助

问题描述 #

尝试访问Power BI数据集时收到401未授权响应，错误码为PowerBINotAuthorizedException，操作流程如下：

1. 创建Entra应用并获取令牌
   请求：

   POST /{{tenantId}}/oauth2/v2.0/token HTTP/1.1
   Host: login.microsoftonline.com
   Content-Type: application/x-www-form-urlencoded
   Content-Length: ...
   
   client_id={{clientId}}
   &grant_type=client_credentials
   &scope=https://analysis.windows.net/powerbi/api/.default openid profile offline_access
   &client_secret={{clientSecret}}
   

   响应：

   {
       "token_type": "Bearer",
       "expires_in": 3599,
       "ext_expires_in": 3599,
       "access_token": "ey...Cw"
   }
   

2. 调用数据集API
   请求：

   GET /v1.0/myorg/groups/{{workspaceId}}/datasets/{{datasetId}} HTTP/1.1
   Host: api.powerbi.com
   Authorization: Bearer ey...Cw
   

   响应：

   {
       "error": {
           "code": "PowerBINotAuthorizedException",
           "pbi.error": {
               "code": "PowerBINotAuthorizedException",
               "parameters": {},
               "details": [],
               "exceptionCulprit": 1
           }
       }
   }
   

已在Microsoft Entra ID中配置对应API权限，需排查权限问题。

排查方案 #

1. 确认API权限已完成管理员同意 #

• 确保配置的是应用权限（而非委派权限），client_credentials认证流仅支持应用权限。
• 进入Entra ID应用的「API权限」页面，点击「授予管理员同意」并确认操作成功（权限状态显示「已同意」）。未完成此步骤的话，即使添加了权限，令牌也不会包含对应的权限角色。

2. 验证令牌包含正确权限 #

• 解码获取到的access_token（可通过在线工具解析），检查roles字段是否包含所需权限（如Dataset.Read.All）。如果roles为空，说明权限未被正确授予。
• 确认令牌的aud（受众）字段为https://analysis.windows.net/powerbi/api，确保scope设置正确。

3. 给应用分配工作区权限 #

• 打开Power BI服务，进入目标工作区，点击右上角「访问」按钮。
• 搜索你的Entra应用名称，添加后分配至少成员角色（管理员角色可获得完整权限）。仅靠全局API权限无法直接访问工作区内的数据集，必须将应用添加到工作区权限列表中。

4. 检查参数与端点正确性 #

• 核实{{workspaceId}}和{{datasetId}}是正确的GUID，无拼写或格式错误。
• 确认使用的是当前有效端点/v1.0/myorg/groups/{workspaceId}/datasets/{datasetId}，避免使用已废弃的经典工作区端点。

5. 排查数据集独立权限 #

• 如果工作区权限已配置但仍无法访问，检查数据集是否设置了独立权限：右键数据集→「权限」，确认应用已被添加到权限列表中，或勾选「继承工作区权限」。

内容的提问来源于stack exchange，提问作者Andrey Nazarenko