获取Power BI API访问令牌仍遭未授权错误（非管理员账号）

问题背景 #

已在Azure AD创建应用并添加Dataset.Read.All等应用权限且管理员已同意，通过C#脚本用服务主体成功获取访问令牌，但调用GetRefreshHistoryInGroupAsync接口时收到未授权错误。手动登录（用户流）可正常获取数据集刷新时间，确认客户端ID、密钥、租户ID配置正确。

核心原因与解决方案 #

1. 服务主体需显式添加到目标工作区 #

服务主体是独立的Azure AD身份，即使拥有API层面的应用权限，也需要被添加到目标Power BI工作区并分配角色，才能访问工作区内的数据集资源。而手动登录使用的是你个人的用户身份，本身已具备工作区访问权限，因此可以正常调用。

操作步骤：

• 打开Power BI服务，进入目标工作区
• 点击右上角「访问」按钮
• 在添加成员输入框中，输入服务主体的客户端ID或应用注册名称，找到对应服务主体
• 分配至少「成员」角色（读取刷新历史无需管理员权限，成员权限足够），完成添加

2. 确认Azure AD权限类型为应用权限 #

• 进入Azure AD应用注册→「API权限」页面
• 确认Dataset.Read.All是应用权限（而非委托权限），服务主体流仅支持应用权限
• 确保管理员已针对应用权限完成全局同意（委托权限的同意不适用于服务主体流）

3. 简化服务主体令牌获取代码 #

服务主体流无需处理用户会话，原代码中GetAccessTokenAsync的账户检测逻辑冗余，可能引发不必要的异常，修正后的方法如下：

static async Task<string> GetAccessTokenAsync(string clientId, string clientSecret, string tenantId)
{
    var app = ConfidentialClientApplicationBuilder.Create(clientId)
        .WithClientSecret(clientSecret)
        .WithAuthority(AzureCloudInstance.AzurePublic, tenantId)
        .Build();

    // 服务主体流必须使用/.default范围
    var scopes = new[] { "https://analysis.windows.net/powerbi/api/.default" };

    try
    {
        // 直接获取服务主体令牌，无需处理用户账户
        var authResult = await app.AcquireTokenForClient(scopes).ExecuteAsync();
        return authResult.AccessToken;
    }
    catch (MsalException ex)
    {
        Console.WriteLine($"获取令牌失败: {ex.Message}");
        throw;
    }
}

额外验证 #

可使用JWT解码工具（注意保护令牌敏感信息）查看获取到的令牌，检查roles声明中是否包含Dataset.Read.All，确认权限已正确注入令牌。

内容的提问来源于stack exchange，提问作者arsh