使用ConfidentialClientApplicationBuilder获取的Power BI API令牌未授权问题

你遇到的问题是典型的客户端凭证流（应用级访问）配置遗漏，以下是必须检查的几个关键点：

• API权限配置错误
  确保在Azure应用注册中，给应用添加的是Power BI Service的应用权限（而非委托权限），比如Workspace.Read.All、Dataset.ReadWrite.All等，并且必须完成管理员同意（应用权限需要租户管理员手动批准，无法通过用户同意）。

• Power BI租户级权限开关未开启
  登录Power BI管理员门户，进入租户设置，找到开发人员设置，开启“允许服务主体访问Power BI API”选项；同时在工作区设置中，确保相关权限（如“允许服务主体创建工作区”）按需启用。

• 令牌请求范围不正确
  使用客户端凭证流时，请求令牌的范围必须是固定的https://analysis.windows.net/powerbi/api/.default，不能使用委托权限的范围格式（比如单独指定Workspace.Read.All）。

• 服务主体未分配具体资源权限
  即使有租户级的API权限，服务主体也需要被添加到目标Power BI资源（工作区、报表、数据集）的权限列表中。比如在工作区的“访问权限”里，添加该服务主体并分配对应的角色（如管理员、成员）。

• 客户端凭证信息错误
  检查令牌请求时使用的客户端ID、客户端密钥、租户ID是否正确，确保客户端密钥没有过期或被撤销，应用注册的类型为“Web/API”且配置无误。

可以用MSAL的代码示例验证请求格式：

var confidentialClient = ConfidentialClientApplicationBuilder
    .Create("你的客户端ID")
    .WithClientSecret("你的客户端密钥")
    .WithTenantId("你的租户ID")
    .Build();

var scopes = new[] { "https://analysis.windows.net/powerbi/api/.default" };
var authResult = await confidentialClient.AcquireTokenForClient(scopes).ExecuteAsync();

内容的提问来源于stack exchange，提问作者TanvirAhmedKhan