PowerBI工作区无法访问Azure Synapse SQL Serverless视图权限咨询

两个问题均由SQL Serverless池的身份透传校验逻辑、Power BI Service数据源凭据配置不匹配导致：

• Power BI Desktop端使用个人AAD账号连接时，账号同时持有Synapse SQL访问权限、ADLS Gen2存储的Blob数据读取权限，可正常读取基于Parquet文件生成的外部视图
• Power BI Service端使用Basic Auth（SQL账号密码）连接时，SQL层鉴权通过，但SQL Serverless访问底层Parquet文件时，该SQL账号无对应存储路径的凭据映射权限，直接触发CREDENTIAL不存在的报错
• 空内容的「不支持计划刷新」提示，是Power BI Service连续多次数据源校验失败后，将数据集的数据源配置标记为无效缓存状态导致，并非该数据源真的不支持计划刷新。
• 你之前配置的Synapse到Power BI的Linked Service是Synapse侧出站访问Power BI数据集用的，不支持Power BI反向访问Synapse、存储的入站鉴权，因此不会生效。

全程使用AAD身份体系完成鉴权，不要使用SQL账号Basic认证，按以下步骤配置：

• 第一步：给Power BI工作区托管身份分配基础权限
  1. 进入Power BI管理门户，找到目标工作区的设置页，复制工作区系统托管身份的对象ID/名称
  2. 连接到Synapse SQL Serverless终结点，执行以下SQL给托管身份授予SQL层访问权限：

     -- 在视图所在的用户库下执行，不要在master库执行
     CREATE USER [你的PBI工作区托管身份名称] FROM EXTERNAL PROVIDER;
     ALTER ROLE db_datareader ADD MEMBER [你的PBI工作区托管身份名称];
     GRANT SELECT ON OBJECT::dbo.MyView TO [你的PBI工作区托管身份名称];
     

  3. 进入底层ADLS Gen2存储账号的IAM（访问控制）页，给该托管身份分配存储Blob数据读取者角色，作用域覆盖Parquet文件所在的容器/目录
• 第二步：配置SQL Serverless层的存储访问凭据，解决CREDENTIAL缺失报错
  如果你之前已经创建过对应存储账号的数据库范围凭据，直接给PBI托管身份开放凭据引用权限即可：

  GRANT REFERENCES ON DATABASE SCOPED CREDENTIAL::[https://mydatalake.dfs.core.windows.net/] TO [你的PBI工作区托管身份名称];
  

  如果之前未创建过对应凭据，直接新建基于托管身份的数据库范围凭据即可：

  CREATE DATABASE SCOPED CREDENTIAL [https://mydatalake.dfs.core.windows.net/]
  WITH IDENTITY = 'Managed Identity';
  

  *注意：凭据地址填写存储账号根级DFS端点即可，不要带后续parquet/*的通配符路径，SQL Serverless会自动匹配子路径的访问权限
• 第三步：Power BI Service端配置正确的数据源凭据
  1. 进入数据集设置页，删掉之前配置的SQL账号Basic Auth凭据
  2. 新建数据源连接，认证方式选择OAuth2.0（如果所在区域已上线工作区托管身份认证选项，直接选该选项），隐私级别设置为「组织」，不要选择私有/公共级别避免权限隔离
  3. 测试连接通过后即可配置每日自动刷新规则。

该问题为Power BI Service的无效配置缓存bug，按以下操作即可恢复：

1. 打开本地Power BI Desktop文件，进入数据源设置页，清空所有该Synapse连接的缓存凭据，重新用个人AAD账号完成认证，确认数据可正常加载
2. 将报告重新发布到目标工作区，发布时选择覆盖原有数据集
3. 回到Power BI Service数据集设置页，按上述步骤重新配置AAD凭据，计划刷新选项会自动恢复可用。

内容的提问来源于stack exchange，提问作者INNVTV