如何实现Power BI Service基于AD认证从AWS Athena按用户权限取数

问题1：Athena如何识别从Power BI云服务发起查询的终端用户？ #

默认情况下，通过本地Power BI网关+固定服务账户（Athena Connector/ODBC）连接Athena时，Athena只会识别网关配置的固定服务账户身份，不会感知到Power BI云的终端用户。

这是因为本地网关的核心作用是中转请求：Power BI云将查询下发到网关后，网关会用预先配置的服务账户身份去访问Athena，整个请求链路中，终端用户的身份不会被自动传递到Athena层面，Athena只认发起请求的服务账户的IAM权限。

问题2：能否将终端用户信息传递至Athena，实现基于角色的授权？ #

标准的本地Power BI网关（使用固定服务账户+ODBC/官方Athena Connector）不支持直接将终端用户身份传递到Athena，但可以通过以下几种方案实现类似需求：

方案1：在Power BI层使用行级别安全（RLS） #

这是最常用的落地方案：

• 先通过网关用固定服务账户获取Athena的全量数据到Power BI数据集
• 在Power BI数据集中配置RLS规则，基于终端用户的身份（比如Azure AD用户名、邮箱）过滤数据，隐藏未授权的PII信息或行数据
• 终端用户访问报表时，Power BI会自动应用RLS规则，返回符合其权限的数据

这种方案无需修改Athena的IAM配置，所有权限控制在Power BI层完成，实现成本低，且适配网关缓存逻辑。

方案2：自定义连接器实现IAM角色切换 #

如果必须在Athena层面做权限控制（比如依赖Athena的列级别安全CLS），可以开发自定义Power BI连接器：

• 在连接器逻辑中，获取Power BI终端用户的身份信息
• 基于预先配置的映射关系（Power BI用户 ↔ AWS IAM角色），调用AWS STS的AssumeRole API获取临时凭证
• 使用临时凭证发起Athena查询，此时Athena会识别临时角色的身份，返回符合其权限的数据

注意：这种方案需要网关所在的EC2实例有调用AssumeRole的IAM权限，同时要处理用户-角色映射的维护，以及网关缓存的适配（不同用户的查询结果可能不同，需禁用或调整缓存策略）。

方案3：结合Athena列级别安全（CLS）与RLS #

如果Athena已配置CLS（基于IAM角色隐藏PII列），可以将RLS与CLS结合：

• 网关用服务账户获取包含所有列的数据到Power BI
• 在Power BI中配置RLS，根据用户角色过滤掉Athena CLS本应隐藏的列
• 这种方式兼顾Athena的权限配置和Power BI的灵活控制，避免自定义开发的复杂度

内容的提问来源于stack exchange，提问作者Anandkumar