配置完成后使用服务主体验证调用Power BI REST API出现401未授权错误

令牌有效性校验（最高概率触发原因） #

• 核对令牌生成时的resource传参值：调用令牌生成接口时，传入的resource参数必须配置为https://analysis.windows.net/powerbi/api，若此前传参为其他API的资源地址（如Microsoft Graph接口地址），即便令牌能够成功生成，也无法通过Power BI接口的权限校验，可直接解码令牌中的aud（受众）字段确认，只有aud值与上述Power BI API地址完全匹配的令牌，才具备接口调用资格。
• 修正令牌生成的端点配置：当前使用的common公共租户路径生成的通用令牌，在企业端启用条件访问策略的场景下，会被系统附加用户级访问校验规则，即便走服务主体生成流程，也会因不满足策略要求被拦截。需将令牌生成接口路径中的common替换为企业自身的Azure AD租户ID，仅使用租户专属端点生成的令牌调用业务接口。
• MFA策略的隐性影响：服务主体本身确实不受MFA流程约束，但若企业配置了全量覆盖的条件访问策略，未被加入排除列表的服务主体，即便令牌生成流程没有触发MFA校验，生成的令牌也会被标记为非信任来源，最终返回401错误。

Azure及Power BI端易遗漏的配置校验 #

• 应用注册的API权限配置：完成服务主体创建后，需在应用注册的「API权限」模块，手动添加Power BI Service对应的应用程序权限（注意区分委托权限与应用程序权限），并由企业Azure AD管理员完成租户级的权限同意。仅将应用添加到工作区、开启服务主体租户访问开关，而未配置应用本身的API调用权限时，依然会触发权限校验失败。
• Power BI管理门户的范围配置：租户级服务主体访问开关开启后，需核对开关的生效范围——若开关配置为仅允许指定安全组的服务主体访问，需确认此前创建的AD安全组，已被加入Power BI管理门户的服务主体访问允许列表，否则即便服务主体被添加到目标工作区并授予管理员角色，也会被租户级前置规则拦截。
• 条件访问策略的主体排除：企业全量启用MFA的条件访问策略，默认会覆盖所有访问主体，需确认对接所用的服务主体、其所属的AD安全组，已被加入条件访问策略的排除列表，避免策略无差别拦截无MFA校验的访问请求。

接口调用环节的校验点 #

• 检查请求头格式：携带令牌时，请求头必须严格遵循Authorization: Bearer <有效令牌>的格式，若存在Bearer关键字拼写错误、令牌前后多余空格、令牌内容截取不全的问题，均会触发401返回。
• 核对接口兼容范围：部分旧版本的Power BI接口本身不支持服务主体验证流程，即便令牌配置完全正确，调用非兼容版本的接口也会返回权限错误，需匹配官方标注的支持服务主体调用的API版本发起请求。

内容的提问来源于stack exchange，提问作者matoxin