Power BI使用托管标识从Azure SQL Database获取数据的方案问询

一、能否通过Power BI工作区托管标识连接？ #

可以。目前Power BI工作区的系统托管标识已支持对接Azure SQL Database，完全匹配你想要的与其他Azure服务一致的身份访问模式，具体操作步骤如下：

• 启用工作区托管标识：进入目标Power BI工作区的「设置」->「托管标识」，开启系统托管标识。开启后可在工作区设置页面复制标识名称，或在Azure AD中查询该标识的对象ID。
• 配置SQL DB权限：使用Azure AD管理员账号登录Azure SQL Database，执行以下SQL命令为托管标识分配数据读取权限（可按需调整角色）：

  CREATE USER [你的Power BI工作区名称] FROM EXTERNAL PROVIDER;
  ALTER ROLE db_datareader ADD MEMBER [你的Power BI工作区名称];
  

  也可在Azure门户的SQL服务器「Azure AD」页面，将该托管标识添加为数据库用户并指定对应角色。
• 更新Power BI数据源：编辑数据集的数据源设置，将认证方式改为Azure Active Directory - 托管标识，保存后即可设置自动刷新，全程无需依赖个人账户。

二、若托管标识暂不可用，最佳替代方案是什么？ #

优先选择**Azure AD服务主体（应用注册）**方案，这是目前最成熟的无个人账户数据拉取方案，操作步骤如下：

• 创建Azure AD应用注册：在Azure AD中新建应用注册，记录客户端ID、租户ID，并生成客户端密钥（或使用证书，安全性更高）。
• 配置SQL DB权限：用Azure AD管理员登录SQL DB，为服务主体创建用户并分配权限：

  CREATE USER [你的应用注册名称] FROM EXTERNAL PROVIDER;
  ALTER ROLE db_datareader ADD MEMBER [你的应用注册名称];
  

• 配置Power BI数据源：在数据集的数据源设置中选择Azure Active Directory - 服务主体，填入客户端ID、密钥（或证书信息）、租户ID，完成配置后即可实现无个人账户的数据集刷新。

补充说明 #

• 托管标识仅限当前工作区使用，权限隔离更严格；服务主体可跨多个Power BI工作区或Azure资源复用，适合规模化场景。
• 云端Power BI数据集刷新无需本地网关，直接使用云端身份验证即可。

内容的提问来源于stack exchange，提问作者chris770