Power BI多租户OAuth2跨租户SharePoint文件夹连接问题及替代方案咨询

1. 使用外部租户专用服务账户连接 #

在外部租户创建一个专用服务账户（非来宾账户），授予其目标SharePoint文件夹的访问权限。在Power BI Service中使用该账户的凭据（优先选择基本身份验证或该租户下的OAuth2账户）重新配置数据源连接，需遵循最小权限原则，仅分配必要的文件夹访问权限。

2. 部署Power BI数据网关 #

安装Power BI本地/企业网关到可访问外部租户SharePoint的环境：

• 在网关配置数据源时，使用来宾账户的OAuth2凭据完成身份验证，网关会保留该身份验证上下文
• Power BI Service通过网关中转访问外部SharePoint，绕过自身直接OAuth2的多租户限制

3. 同步外部数据到主租户 #

• 在外部租户配置Power Automate流，定期将目标SharePoint文件夹的文件同步到主租户的SharePoint/OneDrive或Azure存储账户
• Power BI Service直接连接主租户内的同步数据源，规避跨租户连接问题

4. 基于Azure AD应用权限连接（开发场景适用） #

在Azure AD注册应用程序，在外部租户为该应用授予SharePoint站点的应用权限（非委派权限）：

• 在Power BI Service配置数据源时，使用应用的客户端ID、客户端密钥和外部租户ID完成身份验证
• 此方案需要Azure AD管理员权限，适合具备开发能力的团队

注意：所有方案需提前与外部租户管理员沟通，确保符合对方安全策略。

内容的提问来源于stack exchange，提问作者tb92