使用Power BI Admin API添加工作区用户返回401未授权问题求助

以下是针对该问题的具体排查方向：

• 验证令牌的权限范围与受众
  用jwt.ms解码获取到的token，检查三个关键字段：

  • scopes：确认包含https://analysis.windows.net/powerbi/api/.default（服务主体认证所需的默认范围）
  • aud：确保受众是https://analysis.windows.net/powerbi/api，避免使用了其他资源的令牌
  • roles：确认令牌中包含Fabric管理员对应的角色标识

• 核对请求体参数的准确性

  • 重点检查identifier字段：这里需要填写服务主体的AAD对象ID（Object ID），而非客户端ID（Client ID）。你代码中变量名是aad_group_object_id但注释标注的是servicePrincipal_cliend_id，很可能混淆了两者，这是常见错误点
  • 确认groupUserAccessRight的值拼写正确（比如Contributor是有效值，注意大小写）
  • principalType设为App是正确的，无需修改

• 确认工作区ID与API端点正确性

  • 验证group_id是目标工作区的正确ID，避免混淆AAD组ID或其他资源ID
  • 若使用非全球区域的Power BI服务，需确认API端点域名是否匹配（比如中国区是https://api.powerbi.cn）

• 检查服务主体角色的有效性

  • 确认Fabric管理员角色已正确分配且生效（角色分配后可能需要数分钟同步）
  • 确保是全局Fabric管理员角色，而非仅针对特定工作区的管理员权限

• 排查租户级限制策略

  • 检查租户是否存在条件访问策略，限制了服务主体调用该API的权限（比如要求特定位置、MFA等，服务主体无法满足时会返回401）
  • 确认服务主体未被添加到Power BI的阻止列表中

• 手动验证权限可行性
  用具有Fabric管理员权限的账号登录Power BI Admin Portal，尝试手动将目标服务主体添加到指定工作区，若手动操作也失败，说明服务主体本身存在权限限制，而非代码问题

内容的提问来源于stack exchange，提问作者Fred