Azure自动化刷新Analysis Service模型时遇OAuth2凭据AccessToken缺失错误

我之前碰到过一模一样的问题，本质是你的Analysis Services（AS）模型通过服务主体触发刷新时，没法正确获取SQL数据源的OAuth2访问令牌。下面是一步步的实操解决方法：

1. 先搞定核心权限配置 #

你的服务主体必须拿到两个关键权限，不然一切白搭：

• Azure Analysis Services管理员权限：打开Azure Portal找到你的AS服务器，进入「安全性」>「服务器管理员」，把服务主体的客户端ID以app:{client-id}@{tenant-id}的格式添加进去。
• SQL数据库访问权限：
  • 如果是Azure SQL数据库，直接在数据库IAM界面给服务主体加「SQL DB Contributor」角色；
  • 要是需要更细粒度的权限，就直接在SQL里创建用户并授权：

    CREATE USER [你的服务主体名称] FROM EXTERNAL PROVIDER;
    GRANT SELECT ON SCHEMA::dbo TO [你的服务主体名称];
    -- 按需调整权限，比如需要写入就换对应的权限
    

2. 调整AS模型的数据源认证设置 #

这是解决错误的核心，毕竟提示里明确说数据源的OAuth2认证缺AccessToken：

• 用Visual Studio的Tabular Editor或者Azure Portal里的AS模型编辑器打开你的模型，找到连接SQL的数据源；
• 把认证方式从「OAuth2」改成**「服务主体」**，填入服务主体的客户端ID和密钥；
• 更推荐的方式是选**「使用执行上下文」**（部分工具里叫「继承调用者身份」），这样AS刷新时会自动用触发它的服务主体身份访问数据源，不用手动维护密钥。

3. 修正Runbook脚本的写法 #

如果继续用服务主体认证，别重复传递Credential参数，利用已建立的上下文即可：

# 登录AS服务，已通过服务主体认证
Add-AzureAnalysisServicesAccount -RolloutEnvironment $RolloutEnvironment -ServicePrincipal -Credential $_Credential -TenantId $TenantId
Write-output ("Refreshing Analysis Server model $DatabaseName...")
# 执行刷新时无需重复传Credential，上下文已生效
Invoke-ProcessASDatabase -Server $Server -DatabaseName $DatabaseName -RefreshType Full

要是想彻底省事儿，直接用Azure自动化的托管标识，不用管理密钥：

# 用自动化账户的托管标识登录AS
Add-AzureAnalysisServicesAccount -RolloutEnvironment $RolloutEnvironment -ManagedServiceIdentity
Write-output ("Refreshing Analysis Server model $DatabaseName...")
# 依托托管标识执行刷新
Invoke-ProcessASDatabase -Server $Server -DatabaseName $DatabaseName -RefreshType Full -ManagedServiceIdentity

4. 排查额外潜在问题 #

• 如果AS服务器开了防火墙，记得把Azure自动化账户的IP（或者直接允许Azure服务访问）加入防火墙规则；
• 检查服务主体的密钥是否过期，过期了就重新生成并更新到自动化的Credential资产里。

内容的提问来源于stack exchange，提问作者Rakesh Suryawanshi