如何在Blazor Server应用中实现Power BI报表服务器单点登录嵌入

1. 配置Kerberos约束委派（KCD）实现SSO #

这是企业AD内网环境下的标准解决方案，核心是让Blazor Server服务账户代表已登录用户向Power BI Report Server发起请求，避免重复验证：

• 为Blazor Server运行所用的AD服务账户配置约束委派，授权其委派到Power BI Report Server的SPN（服务主体名称，格式通常为HTTP/[pbireportserver域名]）。
• 确保Power BI Report Server已在AD中注册正确的SPN，可通过setspn -L [报表服务器账户]命令验证。
• 在Blazor Server的Program.cs中启用Windows身份验证并配置Kerberos支持：

  builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
      .AddNegotiate();
  
  builder.Services.AddAuthorization(options =>
  {
      options.FallbackPolicy = options.DefaultPolicy;
  });
  

• 确保所有服务器DNS解析正常，避免NTLM fallback（NTLM不支持委派）。

2. 配置跨域Cookie共享（同主域场景适用） #

若Blazor Server和Power BI Report Server属于同一主域，可通过Cookie域配置实现凭证共享：

• 修改Power BI Report Server的rsreportserver.config，在Authentication节点下设置Cookie的Domain为企业主域（如.yourcompany.com）。
• 确保Blazor Server的身份验证Cookie（若使用Cookie模式）也配置相同主域，同时将Cookie的SameSite属性设为SameSite=None; Secure（因均为HTTPS），让iframe请求能携带凭证。

3. 使用Power BI Report Server嵌入令牌（备选方案） #

若Kerberos配置存在障碍，可通过Blazor Server后端调用报表服务器API生成嵌入令牌，传递给iframe避免重复登录：

• 在Blazor Server中，使用有权限的服务账户调用Power BI Report Server的REST API（如/api/v2.0/PowerBIReports({reportId})/GenerateToken）获取嵌入令牌。
• 将令牌作为参数拼接至iframe URL：https://pbireportserver/Reports/reportname?rs:embed=true&rs:embedtoken={生成的令牌}。

4. .NET 8的简化优化 #

若升级至.NET 8，可利用以下特性简化实现：

• 用AddWindowsAuthentication()替代原有配置，简化Windows身份验证的初始化：

  builder.Services.AddWindowsAuthentication();
  

• .NET 8对跨域iframe的Cookie处理、Kerberos委派配置有更友好的默认支持，减少手动配置项。

排查辅助要点 #

• 查看浏览器网络请求，确认iframe的请求是否携带了Kerberos票据或身份Cookie，无凭证则优先排查委派/Cookie配置。
• 检查Power BI Report Server日志（路径通常为C:\Program Files\Microsoft Power BI Report Server\PBIRS\LogFiles），定位身份验证失败的具体原因。
• 确保所有服务器的HTTPS证书均由企业CA颁发，浏览器信任证书链，避免证书错误导致的验证中断。

内容的提问来源于stack exchange，提问作者gjones