基于Azure AD单点登录嵌入Power BI报表至内部Web应用的最优方案咨询

核心方案选择 #

直接采用用户拥有的嵌入模式（User Owned Embedding），你的内部用户均属于同一Azure AD租户，该模式可直接复用现有Web应用的Azure AD登录会话，实现无二次登录的SSO效果，完全匹配你的需求。

具体实现步骤 #

• 权限前置配置

  • 将内部用户（或Azure AD安全组）添加到Power BI报表所在工作区，至少分配「查看者」角色，确保用户拥有报表访问权限。
  • 在Web应用的Azure AD注册中，添加Power BI服务的委托权限：选择Power BI Service -> Delegated permissions -> Report.Read（或按需选择Report.Read.All），并完成租户级管理员同意（若为批量用户授权）。

• 获取用户的Power BI访问令牌
  用户登录Web应用后，从现有Azure AD认证上下文里直接获取针对Power BI资源的访问令牌（资源ID为https://analysis.windows.net/powerbi/api）。以.NET为例的代码片段：

  var tokenAcquisition = serviceProvider.GetRequiredService<ITokenAcquisition>();
  string powerBiToken = await tokenAcquisition.GetAccessTokenForUserAsync(new[] { "https://analysis.windows.net/powerbi/api/.default" });
  

• 嵌入报表到Web应用
  使用Power BI JavaScript SDK完成嵌入，传入用户令牌、报表ID和工作区ID即可：

  var embedConfig = {
      type: 'report',
      id: '<你的报表ID>',
      embedUrl: 'https://app.powerbi.com/reportEmbed?reportId=<报表ID>&groupId=<工作区ID>',
      accessToken: '<用户的Power BI访问令牌>',
      settings: {
          panes: {
              filters: { visible: false },
              pageNavigation: { visible: true }
          }
      }
  };
  
  var reportContainer = document.getElementById('reportContainer');
  var report = powerbi.embed(reportContainer, embedConfig);
  

• SSO效果验证
  用户登录Web应用后，打开嵌入报表的页面，若配置正确，将直接加载报表，不会触发Power BI的登录跳转。若出现权限报错，优先检查用户的工作区权限和Web应用的API权限配置。

关键注意事项 #

• 确保Web应用与Power BI处于同一Azure AD租户，跨租户场景需额外配置，内部用户场景一般无需考虑。
• 令牌有效期默认1小时，需实现自动刷新逻辑，利用Web应用的刷新令牌获取新的Power BI访问令牌，避免报表加载中断。
• 遵循权限最小化原则：仅分配用户所需的报表权限，避免过度授权。

内容的提问来源于stack exchange，提问作者rpulekar