如何在Power BI自定义DataConnector中安全存储OAuth凭证？

我之前在构建自定义Power BI Data Connector时也踩过这个明文存储的坑，确实风险拉满——毕竟客户端ID和密钥要是泄露，恶意用户直接就能冒充你的应用发起授权请求。下面是几个经过验证的安全替代方案，你可以根据自己的部署场景来选：

1. 基于On-premises Data Gateway的密钥存储（网关部署首选） #

• 把客户端凭证存储在On-premises Data Gateway的加密密钥库中，连接器代码通过GatewayCredential.GetCredential()方法安全获取，全程不会暴露明文凭证。
• 示例代码片段：

let
    FetchOAuthCreds = () => GatewayCredential.GetCredential("Your_OAuth_Credential_Identifier"),
    ClientId = FetchOAuthCreds()[ClientId],
    ClientSecret = FetchOAuthCreds()[ClientSecret]
in
    [ClientId=ClientId, ClientSecret=ClientSecret]

• 优势：完全集成Power BI生态，无需额外工具，网关负责加密存储和权限管控，还能轻松切换多环境的凭证配置。

2. 借助Azure Key Vault（云/混合部署场景） #

• 将客户端ID和密钥存入Azure Key Vault的机密项（Secret）中，连接器通过Azure AD身份验证（托管身份或服务主体）访问Key Vault拉取凭证。
• 核心逻辑：连接器代码从不直接持有凭证，仅调用Key Vault的API获取，所有加密、权限控制、审计日志都由Key Vault负责。
• 优势：企业级安全标准，支持细粒度权限分配，自带操作审计，适合多团队协作的复杂场景。

3. 利用Power BI应用注册的内置凭证（官方认证连接器专属） #

• 如果你的连接器计划成为Power BI官方认证应用，可以在Azure AD应用注册中配置客户端凭证，通过Power BI内置的OAuth流程自动获取凭证，完全不需要在连接器代码中存储任何敏感信息。
• 注意：这个方案仅适用于官方认证的连接器，自定义非认证连接器无法直接使用。

额外注意事项 #

• 遵循最小权限原则：比如给访问Key Vault的主体只分配读取机密的权限，绝不赋予多余权限。
• 桌面测试阶段可以临时用环境变量存储凭证，通过Environment.GetVariable()获取，避免硬编码：

let
    ClientId = Environment.GetVariable("PBI_OAUTH_CLIENT_ID"),
    ClientSecret = Environment.GetVariable("PBI_OAUTH_CLIENT_SECRET")
in
    [ClientId=ClientId, ClientSecret=ClientSecret]

• 桌面环境的环境变量只是临时方案，生产环境必须切换到网关或Key Vault的安全存储方式。

内容的提问来源于stack exchange，提问作者Neeraj