能否通过Web应用利用Windows模拟访问本地Power BI Report Server？

核心结论 #

可以实现，但必须依托Windows身份验证的Kerberos约束委派机制，单纯依赖iframe或简单账户模拟无法达成目标。

具体实现方案 #

1. 配置Kerberos约束委派（关键前提） #

Power BI Report Server基于Windows身份验证，跨用户模拟必须通过Kerberos委派绕过安全限制：

• 在AD中为运行Spring应用的服务账户，配置允许委派到Power BI Report Server的HTTP服务
• 同步配置Power BI Report Server的服务账户委派权限
• 确保所有涉及服务器（Web服务器、Report Server、AD服务器）时间同步，Kerberos对时间差敏感

2. 修正Spring+Waffle的模拟逻辑 #

之前用Waffle失败，大概率是未启用Kerberos委派模式：

• 替换简单身份验证过滤器，改用NegotiateSecurityFilter并开启委派，代码示例：

@Bean
public NegotiateSecurityFilter negotiateSecurityFilter() {
    NegotiateSecurityFilter filter = new NegotiateSecurityFilter();
    filter.setAllowDelegation(true);
    filter.setProvider(negotiateSecurityFilterProvider());
    return filter;
}

• 模拟目标账户（如Barry）时，需通过代码获取该账户的Kerberos票据，而非仅做本地账户模拟

3. iframe的正确使用方式 #

iframe本身无法直接传递凭据，但Kerberos配置完成后可这样用：

• Harry登录Web应用后，后端通过Kerberos模拟Barry身份，调用Power BI Report Server API获取有效报表链接
• 将该链接嵌入iframe，此时iframe内的请求会携带模拟后的Kerberos票据，以Barry身份访问报表
• 注意：Web应用与Report Server需在同一域或信任域内，避免跨域限制

4. 本地环境的Power BI嵌入替代方案 #

本地部署并非完全不能用嵌入功能，可使用Power BI Report Server的REST API嵌入：

• 通过模拟后的Windows身份调用Report Server API获取嵌入令牌
• 用令牌在Web应用中嵌入报表，这种方式比iframe更可控，符合官方集成规范

避坑提示 #

• 禁用NTLM身份验证，NTLM不支持跨服务器委派模拟
• 确保Web应用服务账户拥有足够AD权限执行委派操作

内容的提问来源于stack exchange，提问作者BluTruSeeker