Node.js应用生成Azure AD访问令牌调用Power BI API报401错误

1. 确认权限分配的正确性 #

• 检查Azure AD应用的Power BI权限是否为应用权限而非委托权限：调用https://api.powerbi.com/v1.0/myorg/reports/{reportId}这类API时，应用权限才适用（委托权限需要用户上下文）。确保你添加的是Report.Read.All、Workspace.Read.All这类带All后缀的应用权限，并且已经完成管理员同意（这一步必须做，否则权限不会生效）。
• 验证权限状态：在Azure AD应用的「API权限」页面，确认权限的状态是「已授予[租户名]的管理员同意」。

2. 检查令牌获取流程 #

• 必须使用**客户端凭据流（Client Credentials Flow）**获取令牌，这是应用访问Power BI API的正确方式。Node.js可通过@azure/identity库的ClientSecretCredential实现，示例代码：

const { ClientSecretCredential } = require("@azure/identity");
const credential = new ClientSecretCredential(
  "<你的租户ID>",
  "<你的客户端ID>",
  "<你的客户端密钥>"
);
const accessToken = await credential.getToken("https://analysis.windows.net/powerbi/api/.default");

• 解码令牌验证关键字段：用jwt-decode库解析令牌，确认aud字段值为https://analysis.windows.net/powerbi/api，roles字段包含你分配的应用权限（比如Report.Read.All）。

3. 检查Power BI工作区权限 #

• 应用权限仅能访问已共享给该应用的工作区：即使Azure AD分配了权限，你还需要在Power BI服务中，把目标工作区的权限分配给该Azure AD应用。操作步骤：打开Power BI工作区→「访问」→搜索你的Azure AD应用名称→分配成员或管理员角色。
• 确认报表所在工作区已共享：如果报表在未授权给应用的工作区中，令牌权限再正确也会返回401。

4. 排查API调用细节 #

• 确保URL正确：替换{reportId}为实际报表的GUID，检查URL无拼写错误。
• 验证请求头格式：Authorization头的值必须是Bearer <获取到的访问令牌>，确保令牌前后无多余空格，且完整复制。
• 检查租户级设置：如果Power BI管理员限制了应用访问，需要在Power BI管理门户→「租户设置」→「开发人员设置」中，启用「允许服务主体访问Power BI API」选项。

5. 调试与日志 #

• 添加日志解析令牌：在Node.js中输出令牌的关键信息（注意不要泄露敏感内容），示例代码：

const jwtDecode = require("jwt-decode");
const decodedToken = jwtDecode(accessToken.token);
console.log("令牌包含的权限：", decodedToken.roles);
console.log("令牌受众：", decodedToken.aud);

• 用Postman测试：将获取到的令牌放到Postman的Authorization头中调用同一API，排除Node.js代码的问题。

内容的提问来源于stack exchange，提问作者Mitesh Sahu