使用服务主体生成Token调用PowerBI REST API遇403问题

问题根源：Token的受众/范围差异 #

Azure CLI的az account get-access-token默认请求Azure Resource Manager（ARM）的权限范围（https://management.azure.com/.default），而PowerBI REST API要求Token必须包含PowerBI服务的专属受众（https://analysis.windows.net/powerbi/api/.default）。这就是两种Token的核心差异：

• Get-PowerBIAccessToken会自动请求PowerBI API的权限范围，生成的Token受众匹配PowerBI服务
• Azure CLI默认生成的Token受众是ARM服务，无法被PowerBI API识别授权

解决方法：生成适配PowerBI API的Token #

方法1：使用Azure CLI生成正确Token #

修改az account get-access-token命令，明确指定PowerBI API的资源ID：

az login --service-principal -u ${app_id} -p ${password} --tenant ${tenant_id}
# 指定PowerBI API资源范围，-o tsv输出纯Token字符串
$token=$(az account get-access-token --resource "https://analysis.windows.net/powerbi/api" --query accessToken -o tsv)

方法2：直接调用Azure AD令牌端点生成Token（无需CLI） #

如果生产环境无法使用Azure CLI，可通过HTTP请求直接获取Token：

# 使用curl示例
curl -X POST "https://login.microsoftonline.com/${tenant_id}/oauth2/v2.0/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=${app_id}" \
  -d "client_secret=${password}" \
  -d "scope=https://analysis.windows.net/powerbi/api/.default"

返回结果中的access_token字段即为可用于PowerBI API的有效Token。

额外验证要点 #

• 确认服务主体已被授予PowerBI相关应用权限（如Report.Read.All、Workspace.ReadWrite.All等），且已在Azure AD中完成权限授予（需全局管理员同意）
• 确认服务主体已添加到目标PowerBI工作区，且拥有足够角色权限（如成员、管理员）
• 检查Token的aud字段（受众）是否为https://analysis.windows.net/powerbi/api，可通过在线JWT解析工具验证

内容的提问来源于stack exchange，提问作者Joy