咨询PowerBI连接Microsoft Graph/Azure AD时OAuth2令牌的自动刷新方案

一、依赖PowerBI内置机制实现自动刷新 #

• 连接Microsoft Graph数据源时，选择OAuth2作为身份验证方式，登录过程中勾选持久化登录的选项（如“保持登录状态”），PowerBI会自动在令牌过期前完成刷新，无需手动操作。
• 必须确保你的Azure AD应用注册已添加offline_access权限——这是PowerBI获取刷新令牌的核心前提，没有该权限无法触发自动刷新。

二、关键配置步骤 #

1. 在Azure AD应用注册后台，为应用添加Microsoft Graph的必要权限（比如User.Read.All、Group.Read.All、Organization.Read.All等），完成管理员同意授权，同时务必包含offline_access权限。
2. 在PowerBI Desktop中连接Graph API时，选择OAuth2身份验证并完成登录，PowerBI会自动存储刷新令牌。
3. 报表发布到PowerBI服务后，进入对应数据集的设置页面，在“数据源凭据”板块确认身份验证方式为OAuth2，同时开启“计划刷新”，按需配置刷新频率，确保启动PowerBI时数据已更新完成。

三、自定义令牌刷新逻辑（特殊场景） #

如果内置机制无法满足需求，可通过Power Query的M脚本手动处理：

• 在Power Query编辑器中创建自定义函数，示例代码如下：

let
    RefreshOAuthToken = () =>
        let
            ClientID = "你的Azure AD应用ID",
            ClientSecret = "你的应用密钥",
            ExistingRefreshToken = "已存储的刷新令牌",
            TenantID = "你的Azure租户ID",
            TokenEndpoint = "https://login.microsoftonline.com/" & TenantID & "/oauth2/v2.0/token",
            RequestBody = "grant_type=refresh_token&client_id=" & ClientID & "&client_secret=" & ClientSecret & "&refresh_token=" & ExistingRefreshToken,
            TokenResponse = Web.Contents(TokenEndpoint, [
                Content = Text.ToBinary(RequestBody),
                Headers = [#"Content-Type" = "application/x-www-form-urlencoded"]
            ]),
            TokenJson = Json.Document(TokenResponse),
            NewAccessToken = TokenJson[access_token],
            NewRefreshToken = TokenJson[refresh_token]
        in
            [AccessToken = NewAccessToken, RefreshToken = NewRefreshToken]
in
    RefreshOAuthToken

• 注意：敏感信息（如ClientSecret、RefreshToken）需通过PowerBI数据网关安全存储，避免明文暴露。

内容的提问来源于stack exchange，提问作者Teashirt