Flask+Azure登录后调用Power BI GenerateToken接口返回401错误

以下是针对你的场景（Flask API通过MSAL获取用户access_token调用Power BI接口）的具体排查步骤和解决方案：

1. 验证Access Token的受众与权限 #

Power BI API只接受受众为https://analysis.windows.net/powerbi/api的access_token，且token需包含对应权限：

• 用jwt.ms解析你获取到的access_token，检查：
  • aud字段必须等于https://analysis.windows.net/powerbi/api，否则token无效
  • scp字段需包含所需权限（如Report.Read.All、Workspace.Read.All），对应你调用GenerateToken所需的资源访问权限
• 检查MSAL代码中请求token的scope参数，必须指定Power BI API的合法范围，示例：

  # 针对报表读取的具体权限
  SCOPE = ["https://analysis.windows.net/powerbi/api/Report.Read.All"]
  # 或获取应用已配置的所有委派权限
  SCOPE = ["https://analysis.windows.net/powerbi/api/.default"]
  

2. 确认用户在Power BI中的实际权限 #

Azure AD权限配置不代表用户拥有Power BI资源的访问权限，需额外检查：

• 登录Power BI门户，确认用户被添加到目标报表所在工作区的成员/查看者/管理员角色（至少需要查看权限）
• 若报表设置了单独权限，需确认用户被直接添加到报表的权限列表中

3. 检查MSAL认证流程正确性 #

确保你使用的是授权码流（用户登录场景）而非客户端凭证流：

• 验证代码中是否通过acquire_token_by_auth_code_flow或acquire_token_silent获取用户上下文的access_token，而非客户端凭证的acquire_token_for_client
• 确认获取token时传入的scope正确关联到Power BI API，而非其他资源（如Microsoft Graph）

4. 验证GenerateToken接口的请求参数 #

调用https://api.powerbi.com/v1.0/myorg/GenerateToken时，请求体必须包含正确的资源信息：

• 示例合法请求体（针对报表嵌入）：

  {
    "reports": [{"id": "你的报表ID"}],
    "targetWorkspaces": [{"id": "你的工作区ID"}],
    "accessLevel": "View"
  }
  

• 若请求体中的报表/工作区ID错误，或用户无权限访问该资源，会直接返回401错误

5. 确认Azure AD应用注册配置 #

• 检查应用的重定向URI是否与Flask API的回调地址完全一致，避免授权码流获取的token无效
• 确认应用已配置委派权限（而非应用权限），且需要管理员同意的权限已完成审批（如Report.ReadWrite.All）

内容的提问来源于stack exchange，提问作者Ruben