PowerBI Client无法适配Azure AD服务主体及API调用问题求助

我来帮你排查这个服务主体无法和PowerBI Client协同工作的问题，先从你的代码和常见配置盲区说起：

首先，先把你的代码格式化出来，方便定位问题：

private static async Task getEmbedTokens(string accessToken) 
{ 
    var tokenCredentials = new TokenCredentials(accessToken, "Bearer"); 
    var client = new PowerBIClient(new Uri("https://api.powerbi.com/"), tokenCredentials); 
    var reports = await client.Reports.GetReportsInGroupAsync("<groupid here>"); 
    // Get the first report in the group. 
    var report = reports.Value.FirstOrDefault(); 
    if (report... 
}

接下来，服务主体无法正常工作通常是权限配置不到位或者认证方式不正确导致的，给你列几个关键排查和修复步骤：

• 确认服务主体在Power BI工作区的角色
  光在Azure AD里注册应用还不够，必须把这个服务主体添加到目标Power BI工作组里，给它分配至少「成员」及以上的角色（比如管理员）。你可以登录Power BI服务，进入对应工作区的「访问权限」设置，搜索服务主体的名称添加进去。

• 开启租户级的服务主体访问权限
  登录Power BI管理员门户，找到「租户设置」，在「开发人员设置」里确保「允许服务主体访问Power BI API」这个选项是开启状态，这是很多人容易忽略的点。

• 修正服务主体的认证方式
  你当前的代码是直接传入一个accessToken，但服务主体应该通过自身的应用密钥（或证书）来获取专属的访问令牌，而不是用用户令牌。这里给你一个完整的服务主体认证示例：

  using Microsoft.Identity.Client;
  using Microsoft.PowerBI.Api.V2;
  using Microsoft.Rest;
  
  private static async Task<PowerBIClient> GetPowerBiClientForServicePrincipal()
  {
      var tenantId = "你的租户ID";
      var clientId = "服务主体的应用ID";
      var clientSecret = "服务主体的应用密钥";
      var authority = $"https://login.microsoftonline.com/{tenantId}";
  
      // 使用MSAL获取服务主体的访问令牌
      var app = ConfidentialClientApplicationBuilder
          .Create(clientId)
          .WithClientSecret(clientSecret)
          .WithAuthority(new Uri(authority))
          .Build();
  
      var scopes = new[] { "https://analysis.windows.net/powerbi/api/.default" };
      var result = await app.AcquireTokenForClient(scopes).ExecuteAsync();
  
      // 创建PowerBIClient
      var credentials = new TokenCredentials(result.AccessToken, "Bearer");
      return new PowerBIClient(new Uri("https://api.powerbi.com/"), credentials);
  }
  

  之后你可以在getEmbedTokens方法里调用这个方法来获取正确的客户端实例。

• 检查Azure AD应用的API权限
  进入Azure AD的应用注册页面，找到你的服务主体应用，在「API权限」里添加Power BI Service的应用权限（比如Report.Read.All、Group.Read.All），并且必须点击「授予管理员同意」，否则权限不会生效。

最后，记得检查代码里的<groupid here>是否是正确的工作组ID，另外处理report为null的情况，避免空引用异常。

内容的提问来源于stack exchange，提问作者Unnie