PHP项目免登录嵌入Power BI报表失败，求问题排查方案

问题场景 #

尝试在PHP项目中实现无需登录Power BI账号即可展示报表，已获取Service Principal、ClientId、TenantId、ClientSecret、WorkspaceId及ReportId等完整凭证，但遇到以下问题：

1. 运行.NET示例时返回PowerBIEntityNotFound错误：

"error": {
    "code": "PowerBIEntityNotFound",
    "pbi.error": {
      "code": "PowerBIEntityNotFound",
      "parameters": {},
      "details": [],
      "exceptionCulprit": 1
    }
  }
}

2. 另一种方案能生成access token，但调用https://api.powerbi.com/v1.0/myorg/groups/{group-id}/reports/{report-id}/GenerateToken API时返回401 Unauthorized。
3. 关键现象：使用「我的工作区」/新建工作区的自有报表均失败，但使用教程中的新冠示例报表可成功嵌入。

排查与解决方向 #

一、权限配置问题 #

• Service Principal未获得目标工作区权限：
  示例报表所在工作区可能默认开放了权限，而自有工作区需手动配置。进入Power BI服务的目标工作区→「访问权限」→添加Service Principal的应用ID，分配至少「参与者」角色（生成嵌入令牌需要此级别以上权限）。
• 禁止使用「我的工作区」：
  「我的工作区」属于个人专属工作区，Service Principal无法直接访问，必须使用普通协作工作区。迁移报表到新工作区后，务必重新检查并添加Service Principal的权限。

二、数据源与数据集限制 #

• 本地数据源需配置网关：
  如果自有报表的数据源是本地数据库（如本地SQL Server）、本地Excel文件等，在App Owns Data（无登录）嵌入模式下，必须部署本地数据网关，并将Service Principal添加到网关的管理员或用户列表中。
• 数据集凭据需适配Service Principal：
  若数据集是用个人账号配置的数据源凭据，Service Principal无权访问。需进入数据集设置→「数据源凭据」，将凭据切换为Service Principal（或拥有访问权限的组织账号）。
• 云数据源权限验证：
  对于Azure SQL、SharePoint Online等云数据源，需确保Service Principal拥有该数据源的访问权限（如Azure SQL的DB reader角色）。

三、API调用细节 #

• Access Token的Scope正确性：
  生成access token时，请求的scope必须包含https://analysis.windows.net/powerbi/api/.default，否则无法获取足够权限调用GenerateToken API。
• WorkspaceId/ReportId的准确性：
  迁移报表到新工作区后，需确认使用的是新工作区和新报表的ID，可通过Power BI服务的URL获取：groups/{workspace-id}/reports/{report-id}。
• GenerateToken的权限参数：
  调用GenerateToken时，需指定正确的权限级别（如View），且该级别需与Service Principal在工作区的角色匹配。

四、Azure AD与Power BI配置遗漏 #

• Service Principal的API权限：
  在Azure AD中，给Service Principal添加Power BI Service的应用权限，至少勾选「Report.Read.All」「Workspace.Read.All」，并完成管理员同意步骤。
• 确认嵌入模式：
  确保使用的是「App Owns Data」模式，而非「User Owns Data」模式（后者需要用户登录，不符合无登录需求）。

内容的提问来源于stack exchange，提问作者asd123ea