获取PowerBI的Bearer访问令牌时遭遇401错误求助

微软官方示例页面使用的Scope #

官方Try It页面采用**用户委托权限（Delegated）授权方式，使用的Scope通常是具体权限值，比如：
https://analysis.windows.net/powerbi/api/Report.Read.All
或更宽泛的https://analysis.windows.net/powerbi/api/.default（包含所有已配置的委托权限）。
注意：示例令牌基于用户登录生成，会包含scp字段记录授权范围；而你用Client Secret获取的是应用权限（Application）**令牌，令牌中应存在roles字段，这是两者核心区别。

排查步骤 #

1. 匹配令牌请求的Scope与授权流 #

你使用的是Client Credentials流（通过Client ID+Secret获取令牌），这种场景必须用应用权限的Scope格式：

scope=https://analysis.windows.net/powerbi/api/.default

不能直接使用委托权限的具体Scope（如Report.Read.All），应用权限的生效逻辑依赖Azure后台配置的权限+管理员同意，而非请求时指定具体Scope。

2. 解析令牌验证核心字段 #

用jwt.ms解析你获取的令牌，重点核对：

• aud（受众）：必须是https://analysis.windows.net/powerbi/api，否则令牌无法被Power BI API识别；
• roles：必须包含Azure中配置的应用权限（如Report.Read.All、Group.Read.All），若没有该字段，说明：
  • Azure中未给应用添加对应应用权限；
  • 未完成“授予管理员同意”操作（应用权限必须经租户管理员授权才生效）。

3. 核对Azure权限配置细节 #

• 确保在Azure AD应用的「API权限」中添加的是Power BI Service的应用权限（而非委托权限），比如Report.Read.All、Group.Read.All；
• 必须点击权限列表上方的「授予管理员同意」按钮，确认租户管理员完成授权；
• 检查权限覆盖范围：获取报表需Report.Read.All，访问工作区需Group.Read.All，确保权限匹配API需求。

4. 验证API调用参数 #

• 确认请求头Authorization格式正确：Bearer {你的令牌}；
• 检查groupid和reportId属于目标租户，且工作区/报表未设置特殊权限限制（比如应用未被添加到工作区访问列表）。

内容的提问来源于stack exchange，提问作者TechTurtle