Power BI报表服务器自定义授权后无法配置行级别安全组

针对自定义授权后无法在RLS模块分配数据库组的问题，核心是要把自定义身份体系与Power BI的RLS逻辑做映射，而非依赖原生UI的分配功能，具体解决步骤如下：

• 明确RLS与自定义授权的关联逻辑
  原生RLS的组分配依赖Power BI内置的用户/组体系，而自定义授权下的用户属于自定义身份池，无法直接通过UI关联。需要通过用户身份Claims注入+数据集RLS规则绑定的方式实现行级过滤。

• 在身份验证阶段注入用户组信息
  在AuthenticationExtension.cs的Authenticate方法中，将用户所属的数据库组ID/名称作为Claims添加到自定义身份中，示例代码：

  public IPrincipal Authenticate(IRequestContext requestContext)
  {
      // 自定义身份验证逻辑，获取当前用户信息
      var username = GetCurrentUsername(requestContext);
      var userGroupId = GetUserGroupFromDatabase(username); // 从数据库获取用户所属组ID
  
      var identity = new CustomIdentity(username);
      // 添加组信息到Claims
      identity.AddClaim(new Claim("DatabaseGroupID", userGroupId));
      return new CustomPrincipal(identity);
  }
  

• 配置数据集RLS角色与过滤规则
  在Power BI数据集的RLS设置中创建角色，使用DAX规则绑定用户的Claims信息，例如：

  [GroupID] = CLAIMVALUE("DatabaseGroupID")
  

  这样用户访问报表时，Power BI会自动提取Claims中的组ID，过滤出对应行的数据。

• 扩展授权逻辑支持RLS角色校验
  在Authorization.cs的CheckAccess方法中，可额外添加对数据集RLS角色的权限校验（如果需要自定义角色权限逻辑），示例：

  public bool CheckAccess(IPrincipal principal, ReportCatalogItem catalogItem, ReportOperation operation)
  {
      // 原有报表权限校验逻辑
      var baseAccess = base.CheckAccess(principal, catalogItem, operation);
      if (!baseAccess) return false;
  
      // 针对数据集的RLS角色校验（可选，根据业务需求）
      if (catalogItem is DataSetCatalogItem dataSet)
      {
          var userGroupId = ((CustomIdentity)principal.Identity).FindFirst("DatabaseGroupID")?.Value;
          return IsUserAuthorizedForDataSetRole(userGroupId, dataSet.Id); // 自定义方法验证用户是否有权限访问该数据集的RLS角色
      }
      return true;
  }
  

• 绕过UI分配限制，通过后台管理映射关系
  由于自定义授权下原生UI不支持分配数据库组，可自行维护用户-组-RLS角色的映射表，通过后台接口或脚本管理，确保用户的组信息与数据集RLS规则正确关联。

• 调试与验证
  启用Power BI报表服务器的详细日志，查看身份验证过程中Claims的传递情况，同时测试报表的行级过滤效果，确保只有用户所属组的数据被展示。

内容的提问来源于stack exchange，提问作者Mustafa Qarehkhani