ASP.NET Core 3.1 Web API通过PowerBI与Azure AD访问的认证配置异常问题

这个问题我之前帮不少开发者排查过，核心原因是你当前的认证配置是给浏览器这类交互式场景设计的，但PowerBI作为非交互式客户端，需要用服务主体（Service Principal）+ OAuth 2.0客户端凭证流来访问API——这就是浏览器正常、PowerBI报错的根本差异所在。

为什么会出现这个矛盾？ #

• 浏览器访问时，OpenID Connect的授权码流会引导用户跳转登录页完成认证，完全匹配你现在的配置逻辑。
• PowerBI是后台服务类客户端，它不会弹出登录页让用户手动操作，必须通过应用本身的身份（服务主体）去请求API，用的是客户端凭证流：这种流程不需要用户参与，直接通过客户端ID+密钥/证书获取Token，再调用API。

具体修正步骤 #

1. 调整ASP.NET Core API的认证配置 #

你当前用的AddMicrosoftIdentityWebApp是给Web应用（比如MVC）做交互式登录的，API应该用专门的AddMicrosoftIdentityWebApi来配置JWT Bearer认证：

// 替换原来的Authentication配置
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(Configuration.GetSection("AzureAd"));

// 如果还需要保留Basic认证，可以继续添加，但API主要用JWT Bearer
// .AddScheme<AuthenticationSchemeOptions, BasicAuthenticationHandler>("BasicAuthentication", null);

同时确保appsettings.json里的AzureAd配置包含正确的受众（Audience），也就是你的API应用注册的ID URI：

"AzureAd": {
  "Instance": "https://login.microsoftonline.com/",
  "Domain": "your-tenant-domain.com",
  "TenantId": "your-tenant-id",
  "ClientId": "your-api-client-id",
  "Audience": "api://your-api-client-id" // 这里要和API应用注册的ID URI完全一致
}

2. 更新控制器的授权属性 #

PowerBI会发送Bearer Token，所以你的控制器应该用JWT Bearer的认证Scheme，而不是OpenID Connect：

[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
[ApiController]
[Route("api/[controller]")]
// 建议去掉ApiExplorerSettings(IgnoreApi = true)，否则PowerBI可能无法识别API元数据
public class SomeController : ControllerBase

3. 在Azure AD中配置API权限 #

• 首先，在你的API应用注册里，暴露一个API范围（比如命名为access_as_application），类型选择"应用权限"。
• 然后，找到PowerBI对应的服务主体（或者你为PowerBI创建的专用应用注册），给它授予这个API的应用权限（注意不是委派权限），并完成管理员同意。

4. 配置PowerBI的数据源认证 #

在PowerBI中添加REST API数据源时，选择OAuth 2.0认证方式，然后：

• 如果用服务主体：输入服务主体的客户端ID、客户端密钥、租户ID。
• 如果用PowerBI的托管身份（仅限Azure上的PowerBI服务）：直接选择"托管身份"，确保托管身份已经被授予API的应用权限。

额外排查点 #

• 检查Azure AD登录日志时，记得筛选**"服务主体"**类型的事件，之前没找到记录可能是因为默认筛选的是用户登录事件。
• 先用Postman模拟客户端凭证流获取Token：发送POST请求到https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token，参数包括grant_type=client_credentials、client_id、client_secret、scope=api://{api-client-id}/.default，拿到Token后调用API测试，先确认API配置本身没问题。

内容的提问来源于stack exchange，提问作者Matthias Müller