.NET应用生成PowerBI Embed Token触发not authorized异常求解

该场景属于认证链路正常、Power BI侧细粒度授权/参数校验不通过：服务主体可正常拉取dataset、report列表，证明Azure AD认证环节、Power BI基础访问权限已配置正确；GenerateToken接口触发未授权异常，和Azure AD应用注册配置无关，问题集中在Power BI工作区权限、租户设置、请求参数匹配三个维度。

按优先级从高到低逐一验证：

• 校验工作区角色分配
  服务主体加入工作区时如果被分配「查看者」角色，无生成嵌入令牌的权限，必须调整为成员或管理员角色：进入对应Power BI工作区-访问权限页面，搜索服务主体对应的Azure AD应用名称，确认角色配置正确，修改后等待15分钟待权限全局同步后再测试。
  注意：经典模式工作区（非V2版本）不支持服务主体调用嵌入令牌接口，必须先迁移到V2新工作区。
• 校验跨资源权限
  如果当前报表引用了其他工作区的数据集，必须将同一个服务主体加入到数据集所属工作区，同样分配至少成员角色，跨工作区资源无权限是该类异常的高频诱因。
  若数据集开启了RLS（行级安全）配置，生成令牌的请求中必须补充对应身份声明参数，否则会被权限规则拦截。
• 校验租户开关配置
  使用Power BI全局管理员账号进入管理门户-租户设置页，找到「允许服务主体使用Power BI API」配置项：
  1. 确认开关为全局启用状态
  2. 如果配置了安全组范围限制，确认当前服务主体在允许的安全组列表内
     基础列表查询接口存在缓存逻辑，可能出现开关未开也能拉取数据的情况，但GenerateToken接口走强实时校验，会直接拦截无权限请求。
• 校验请求参数合法性
  你当前代码存在一个高频参数错误：targetWorkspaces参数仅在需要访问当前工作区外的资源时才需要传递，如果所有报表、数据集都在pbiClient绑定的当前工作区内，传入该参数会触发额外的跨区权限校验，直接返回未授权。
  同时逐一核对传入的reportId、datasetId是否属于当前工作区，不要混用不同环境的资源ID、传入已删除/迁移的资源ID。

// 生成嵌入令牌请求，同工作区场景不传targetWorkspaces参数
var tokenRequest = new GenerateTokenRequestV2(
    reports: new List<GenerateTokenRequestV2Report>() 
    { 
        new GenerateTokenRequestV2Report(reportId) 
    },
    datasets: datasetIds.Select(datasetId => new GenerateTokenRequestV2Dataset(datasetId.ToString())).ToList()
    // 仅跨工作区访问时取消注释下方代码，传入目标工作区ID
    // ,targetWorkspaces: new List<GenerateTokenRequestV2TargetWorkspace>() 
    // { 
    //     new GenerateTokenRequestV2TargetWorkspace(targetWorkspaceId) 
    // }
);

try
{
    var embedToken = pbiClient.EmbedToken.GenerateToken(tokenRequest);
    return embedToken;
}
catch (HttpOperationException ex)
{
    // 捕获接口返回的完整错误内容，可直接定位具体无权限资源、缺失权限类型
    var errorDetail = ex.Response.Content;
    throw new Exception($"嵌入令牌生成失败: {errorDetail}", ex);
}

调试时不要忽略接口返回的错误详情，Power BI返回的错误体中会明确标注异常根因，无需靠猜排查。

内容的提问来源于stack exchange，提问作者user8769813