Power BI调用微软高级狩猎查询API部分表可用部分返回400错误咨询

核心原因 #

你遇到的部分表返回400错误，主要和权限范围、API调用方式不匹配有关：DeviceEvents属于Defender for Endpoint专属表，你当前配置的权限/端点支持该类表查询；而AlertInfo、EmailEvents、IdentityInfo属于跨产品的Microsoft 365 Defender统一高级狩猎表，需要额外的配置支持。

具体排查和修复步骤 #

• 第一步：检查权限与许可证配置
  • 确认你用于认证的账号或应用注册，已经分配Microsoft 365 Defender全局的AdvancedHunting.Read.All权限，而非仅Defender for Endpoint的独立高级狩猎权限
  • 确认账号持有对应表的许可证：查询EmailEvents需要Defender for Office 365 P1/P2许可证，查询IdentityInfo需要Defender for Identity许可证，查询AlertInfo需要至少Defender XDR的基础访问权限
  • 如果使用委托权限（个人账号登录Power BI），需确认你的账号在Microsoft 365 Defender门户中本身就有权限访问对应高级狩猎表
• 第二步：调整Power Query API调用方式
  你当前使用GET请求传参的方式，容易遇到URL长度限制、特殊字符编码错误的问题，建议改成POST请求传递查询语句，同时更换为支持全量表查询的统一API端点，参考修改后的代码：

let
    AdvancedHuntingQuery = "AlertInfo | limit 10",
    HuntingUrl = "https://api.security.microsoft.com/api/advancedhunting/run",
    RequestBody = Text.FromBinary(Json.FromValue([Query=AdvancedHuntingQuery])),
    Response = Json.Document(Web.Contents(HuntingUrl, [
        Headers = [#"Content-Type"="application/json"],
        Content = RequestBody
    ])),
    TypeMap = #table(
        { "Type", "PowerBiType" },
        {
            { "Double",   Double.Type },
            { "Int64",    Int64.Type },
            { "Int32",    Int32.Type },
            { "Int16",    Int16.Type },
            { "UInt64",   Number.Type },
            { "UInt32",   Number.Type },
            { "UInt16",   Number.Type },
            { "Byte",     Byte.Type },
            { "Single",   Single.Type },
            { "Decimal",  Decimal.Type },
            { "TimeSpan", Duration.Type },
            { "DateTime", DateTimeZone.Type },
            { "String",   Text.Type },
            { "Boolean",  Logical.Type },
            { "SByte",    Logical.Type },
            { "Guid",     Text.Type }
        }),
    Schema = Table.FromRecords(Response[Schema]),
    TypedSchema = Table.Join(Table.SelectColumns(Schema, {"Name", "Type"}), {"Type"}, TypeMap , {"Type"}),
    Results = Response[Results],
    Rows = Table.FromRecords(Results, Schema[Name]),
    Table = Table.TransformColumnTypes(Rows, Table.ToList(TypedSchema, (c) => {c{0}, c{2}}))
in
    Table

• 第三步：验证错误详情
  如果调整后仍然报错，可以把请求复制到API测试工具中调用，查看400返回的具体错误信息，快速定位是权限问题还是查询语法问题。

内容的提问来源于stack exchange，提问作者Hartraft