使用Connect Live连接Analysis Service时Power BI RLS配置：Manage Roles置灰

当使用Connect Live方式连接Azure Analysis Services(AAS)时，Power BI Desktop的「Manage Roles」选项置灰是正常逻辑——这种连接模式下，数据模型和行级安全(RLS)规则完全托管在AAS端，Power BI仅作为前端可视化工具，不具备修改后端模型安全配置的权限。以下是正确的操作流程及偏差纠正：

1. 正确配置路径：在Azure Analysis Services中设置RLS #

你需要直接在AAS的模型里创建角色并定义行级筛选规则：

• 打开SQL Server Data Tools(SSDT)或AAS的Web Designer，连接目标AAS实例。
• 在模型项目中，右键点击「Roles」文件夹，选择「New Role」。
• 为角色命名（如「TeamLeadRole」），设置权限为「Read」。
• 切换到「Row Filters」选项卡，针对目标表编写DAX筛选表达式。比如要实现团队负责人仅查看自己团队成员数据，假设员工表有TeamManager字段存储负责人邮箱，表达式可写：

  Employees[TeamManager] = USERPRINCIPALNAME()
  

  （USERPRINCIPALNAME()会返回当前登录用户的邮箱，需确保与TeamManager字段值格式一致）
• 保存并将模型部署到AAS实例。

2. 在Power BI中验证RLS效果 #

完成AAS端配置后，在Power BI Desktop中：

• 保持Connect Live连接状态，点击「建模」菜单中的「View as roles」（该选项不会置灰）。
• 在弹出窗口中选择AAS中创建的角色，或输入特定用户邮箱，点击「OK」即可预览对应角色/用户能访问的数据范围。

常见操作偏差纠正 #

• 误区：将Import模式的RLS配置逻辑套用到Connect Live模式——Import模式是在Power BI本地模型配置，而Live连接完全依赖后端AAS的模型规则。
• 权限要求：配置RLS的账号需具备AAS实例的「Server Administrator」或「Model Administrator」权限，否则无法修改模型角色。
• 排查要点：若验证时数据不符合预期，先检查AAS端的DAX表达式是否正确，以及Power BI登录用户的身份信息是否与模型中用于筛选的字段值匹配。

内容的提问来源于stack exchange，提问作者Thamarai Selvan