在Microsoft Fabric中使用Workspace Identity执行管道时遇权限问题

权限配置缺失 #

• Workspace Identity并非自动拥有工作区内所有资源的权限，即使在同一工作区，它默认没有语义模型的刷新权限。个人账号因继承工作区成员/管理员权限或被直接分配语义模型权限，所以能正常执行。
• 操作：进入语义模型的「权限」面板，将Workspace Identity添加为成员或管理员，确保授予允许刷新的权限。

新Invoke Pipeline的身份传递逻辑变化 #

• 微软推荐的Invoke Pipeline与Legacy版本的身份传递规则不同：Legacy会直接沿用父管道的Workspace Identity上下文，而新版本需要子管道显式配置使用Workspace Identity，且需确保子管道的执行身份继承父管道的工作区身份。
• 验证：检查被调用子管道中的Semantic Model Refresh活动，确认连接身份验证方式为Workspace Identity，且子管道的执行身份设置正确。

底层数据源权限连锁问题 #

• 语义模型刷新依赖底层数据源（如Lakehouse、Warehouse）的访问权限，若Workspace Identity没有这些数据源的读取权限，即使有语义模型权限也会失败。个人账号通常已具备数据源访问权限，因此不受影响。
• 排查：查看语义模型关联的数据源权限，确认Workspace Identity拥有至少读取权限。

Workspace Identity同步延迟 #

• 刚创建的Workspace Identity存在后台权限同步延迟，Fabric未完成身份信息同步时，管道执行会出现身份验证失败。个人账号作为组织身份即时生效，无此问题。
• 建议：等待15-30分钟后重试，或删除并重新创建Workspace Identity后重新分配权限。

活动配置细节错误 #

• 检查Semantic Model Refresh活动的「工作区」是否准确选择当前工作区，语义模型名称是否完全匹配（注意大小写、特殊字符）。Legacy版本对名称匹配容错性较高，新版本校验更严格。

内容的提问来源于stack exchange，提问作者yonabout