Azure Analysis Services来宾用户无法查看模型问题求助

这问题我之前帮客户排查过好几次，大概率是身份验证、权限同步或者客户端配置的问题，咱们一步步拆解排查：

一、先确认来宾用户的身份激活状态 #

• 检查邀请是否已接受：登录Azure AD，找到「用户」>「来宾用户」，定位到这个xx.yy_domainX.com#EXT#@domainY.onmicrosoft.com账号，查看状态是否为「已接受邀请」。如果用户没点击邮箱里的邀请链接完成身份验证，哪怕在管理员组里也无法正常访问AS资源。
• 验证登录身份正确性：用户在SSMS或PowerBI登录时，必须使用完整的来宾账号（也就是xx.yy_domainX.com#EXT#@domainY.onmicrosoft.com），很多时候用户会误用来宾原域的xx.yy@domainX.com登录，导致身份不匹配，自然看不到模型。

二、核对Analysis Services的权限配置 #

• 确认管理员组已正确添加：登录Azure Portal，找到你的Analysis Services资源，进入「安全性」>「服务器管理员」，检查包含来宾用户的组是否在列表中，同时确认组的成员里确实有这个来宾用户（有时候组同步会有延迟，刚加的用户可能没立刻同步进来）。
• 检查服务器身份验证模式：在AS资源的「配置」页，确认「身份验证」设置为「Azure Active Directory」，如果是「SQL Server」模式，来宾用户根本无法通过AAD身份验证访问。

三、排查客户端（SSMS/PowerBI）的连接设置 #

• SSMS连接注意事项：
  • 身份验证方式要选「Azure Active Directory - 通用且具有 MFA」（如果用户开启了MFA）或「Azure Active Directory - 密码」，不能选SQL身份验证。
  • 确保使用最新版本的SSMS，旧版本对AAD来宾账号的支持存在兼容性问题，比如无法正确解析#EXT#格式的账号。
  • 可以尝试清除SSMS缓存：关闭SSMS后，删除C:\Users\<你的用户名>\AppData\Roaming\Microsoft\SQL Server Management Studio\<版本号>\SqlStudio.bin文件，再重新登录。
• PowerBI连接排查：
  • PowerBI Desktop连接时，选择「Azure Analysis Services」数据源，输入完整的来宾账号登录。
  • 如果是在PowerBI Service中看不到模型，还要确认来宾用户是否被添加到对应工作区的成员列表中（哪怕是AS服务器管理员，没有工作区权限也看不到Service里的数据集关联模型）。

四、考虑同步延迟与缓存问题 #

• AAD组同步延迟：将用户添加到组后，组权限同步到AS服务器通常需要15-30分钟，极端情况下可能更久。可以等待一段时间再试，或者如果允许的话，重启AS服务器强制同步权限。
• 客户端缓存问题：除了SSMS的缓存，PowerBI也可能缓存旧的身份信息，可以尝试清除浏览器缓存（如果用Service）或重启PowerBI Desktop后重新登录。

五、其他潜在问题 #

• 外部域信任关系：登录Azure AD的「外部标识」>「组织关系」，检查domainX是否被正确添加为受信任的外部域，如果域信任配置有问题，来宾用户的身份验证会失败。
• 条件访问策略限制：查看AAD的「条件访问」策略，是否有针对Analysis Services或来宾用户的限制，比如阻止特定位置登录、要求特定MFA方式等，这些策略可能会导致用户登录后无法访问模型资源。

内容的提问来源于stack exchange，提问作者Tysklind-MSFT