Power BI通过SSAS网关刷新报“EffectiveUserName XML for Analysis属性无效”错误

根因说明 #

该报错核心为Power BI网关连接SSAS时默认传递的EffectiveUserName参数值（本次报错中为FirstName@CompanyDomain.ca）不被SSAS实例识别，即使网关数据源已配置专用服务账户，只要未关闭相关参数传递开关，Power BI仍会将触发刷新的用户UPN传递至SSAS做校验。

排查步骤 #

• 校验报错中对应UPN的有效性：前往Active Directory检查FirstName@CompanyDomain.ca是否为有效域账号，确认账号未被禁用、锁定，且账号所在域与SSAS实例所在域为同域或存在双向可信关系
• 检查SSAS实例参数配置：用SSMS连接SSAS表格实例，右键实例选择「属性」→「安全」，确认「在连接字符串中允许EffectiveUserName属性」选项已勾选，未开启时SSAS会直接拒绝所有携带该参数的连接请求
• 核对网关数据源配置：打开Power BI网关管理页，找到对应SSAS数据源，确认「使用Kerberos进行SSO查询」选项为关闭状态——导入模式刷新无需SSO，开启该选项后网关会强制传递当前触发刷新的用户UPN作为EffectiveUserName
• 检查网关服务账户本地权限：登录网关部署服务器，打开本地安全策略→本地策略→用户权限分配，确认网关运行所用的服务账户已加入「身份验证后模拟客户端」「允许在本地登录」权限列表，权限缺失会导致身份模拟失败触发报错
• 核对数据源身份验证格式：确认SSAS数据源的登录账号格式为域名\用户名，而非UPN格式用户名@域名，旧版本SSAS对UPN格式的登录账号兼容性较差

解决方案 #

根据排查出的异常点执行对应操作即可：

1. 若SSAS未开启EffectiveUserName权限：勾选对应选项后重启SSAS实例生效
2. 若网关数据源开启了SSO选项：取消勾选「使用Kerberos进行SSO查询」，保存配置后重新触发数据集刷新
3. 若传递的UPN账号无SSAS访问权限：两种处理方式，一是将所有需要触发刷新的账号添加至SSAS实例权限列表；二是修改Power BI Desktop源文件的SSAS连接配置，在高级选项中手动指定EffectiveUserName参数值为网关所用服务账户的有效身份（格式为域名\服务账号名），重新发布报表后刷新即可
4. 若网关服务账户缺少本地权限：将服务账户添加到对应权限列表后，重启Power BI网关服务生效

内容的提问来源于stack exchange，提问作者Depth of Field