Bygge inn en rapport med tokenbasert identitet (SSO)

Gjelder for:✅ Power BI innebygd analyse for kundene dine (App-eier-data)

Den tokenbaserte identiteten gjør det mulig for en ISV å bruke en Microsoft Entra-tilgangstoken for å overføre kundens identitet til en Azure SQL-database som administreres i kundens leietaker.

ISV-kunder som beholder og administrerer dataene sine i Azure SQL Database , kan holde dataene sikre i leieren når de integrerer med Power BI Embedded i ISV-appen.

Når du genererer innebyggingstokenet, angir du identiteten til brukeren i Azure SQL ved å sende brukerens Microsoft Entra-tilgangstoken for Azure SQL-serveren. Tilgangstokenet brukes deretter til å hente bare relevante data for denne brukeren fra Azure SQL, for den bestemte økten.

Important

Begrensninger for SSO som eier appen:

• I app-owns-data-scenarier (tjenesteprincipal eller masterbrukerautentisering) støttes SSO for DirectQuery-datakilder kun med Azure SQL Database.
• Når du genererer en embed-token med SSO, må du oppgi en IdentityBlob for hver datakilde som har SSO aktivert. Utelatelse av IdentityBlob fører til at tokengenerering eller spørringsutførelse feiler.

Konfigurere tokenbasert identitet

Den tokenbaserte identiteten fungerer bare for DirectQuery-modeller på en kapasitet som er koblet til en Azure SQL Database som er konfigurert til å tillate Microsoft Entra-godkjenning. Datakilden til den semantiske modellen må konfigureres til å bruke sluttbrukernes OAuth2-legitimasjon for å bruke en tokenbasert identitet. Mer informasjon om Microsoft Entra-godkjenning for Azure SQL Database.

Før du konfigurerer tokenbasert identitet, verifiser:

• Din DirectQuery-datakilde er Azure SQL Database (den eneste støttede SSO-datakilden for scenarier hvor appen eier data).
• Azure SQL Database er konfigurert for Microsoft Entra autentisering.
• Du har brukerens Microsoft Entra tilgangstoken for at Azure SQL-serveren skal passere som IdentityBlob.

Konfigurer i portalen

1. Velg Semantic-modellen > Flere alternativer (tre prikker) > Innstillinger > Datakildelegitimasjon > Rediger legitimasjon fra Power BI-portalen.

   

2. Merk av for alternativet OAuth2 .

   

Konfigurere med API

Send en Gateways – Oppdater API-kallet for datakilde med "useEndUserOAuth2Credentials" = True og "credentialType": "OAuth2" for ønsket semantisk modell. Forespørselsteksten skal se omtrent slik ut:

{
  "credentialDetails": {
    "credentials": "{\"credentialData\":[{\"name\":\"accessToken\",\"value\":\"eyJ…\"}]}",
    "credentialType": "OAuth2",
    "encryptedConnection": "Encrypted",
    "encryptionAlgorithm": "None",
    "privacyLevel": "Organizational",
    "useEndUserOAuth2Credentials": true
  }
}

Generer et identitetstoken

Hvis du vil opprette et tilgangstoken for Azure SQL, må appen ha tilgangstillatelsen Access Azure SQL DB og datalager delegert til Azure SQL Database API på registreringskonfigurasjonen for Microsoft Entra-appen i Azure-portalen.

Godkjenne og skaffe et token for brukeren fra Azure AD v2-endepunktet for følgende omfang: https://database.windows.net/.default

Se følgende MSAL-kodeeksempler for å få hjelp:

• Kodeeksempler for Microsofts identitetsplattform godkjenning og godkjenning – Microsoft Entra | Microsoft Learn
• Microsofts identitetsplattform og OAuth 2.0 autorisasjonskodeflyt

Generer innebyggingstoken

Hvis du vil bygge inn en rapport med tokenbasert identitet, genererer du et innebyggingstoken som inneholder tokenbaseidentiteten til den ønskede ISV-brukeren. Se eksemplene nedenfor for generering av innebyggingstokener for ulike scenarioer.

Bemerkning

Du må inkludere en datasourceIdentities oppføring med en gyldig identityBlob for hver Azure SQL datakilde som har SSO aktivert. Hvis en SSO-aktivert datakilde mangler sin identityBlob, vil innbyggingstokengenereringskallet feile eller spørringskjøringen vil gi en feil.

Power BI-rapport med SSO

{
  "datasets": [
    {
      "id": "66ba5010-xxxx-xxxx-xxxx-f2bf0125abeb",
    }
  ],
  "reports": [
    {
      "allowEdit": false,
      "id": "9e6da541-xxxx-xxxx-xxxx-7d9442827cce"
    }
  ],
  "datasourceIdentities": [
    {
      "identityBlob": "eyJ…",
      "datasources": [
        {
          "datasourceType": "Sql",
          "connectionDetails": {
            "server": "YourServerName.database.windows.net",
            "database": "YourDataBaseName"
          }
        }
      ]
    }
  ]
}

Paginert rapport med SSO

{
  "reports": [
    {
      "allowEdit": false,
      "id": "2b0a27c7-xxxx-xxxx-xxxx-4d2036b42f90"
    }
  ],
  "datasourceIdentities": [
    {
      "identityBlob": "eyJ…",
      "datasources": [
        {
          "datasourceType": "Sql",
          "connectionDetails": {
            "server": "YourServerName.database.windows.net",
            "database": "YourDataBaseName"
          }
        }
      ]
    }
  ]
}

Power BI-rapport med SSO og RLS på semantisk modell

{
  "datasets": [
    {
      "id": "fff1a505-xxxx-xxxx-xxxx-e69f81e5b974",
    }
  ],
  "reports": [
    {
      "allowEdit": false,
      "id": "10ce71df-xxxx-xxxx-xxxx-814a916b700d"
    }
  ],
  "identities": [
    {
      "username": "YourUsername",
      "datasets": [
        "fff1a505-xxxx-xxxx-xxxx-e69f81e5b974"
      ],
      "roles": [
        "YourRole"
      ]
    }
  ],
  "datasourceIdentities": [
    {
      "identityBlob": "eyJ…",
      "datasources": [
        {
          "datasourceType": "Sql",
          "connectionDetails": {
            "server": "YourServerName.database.windows.net",
            "database": "YourDataBaseName"
          }
        }
      ]
    }
  ]
}

Paginert rapport som er koblet til Semantisk Power BI-modell med RLS og SSO-datakilde som er koblet til DirectQuery til et annet Power BI-datasett

{
  "datasets": [
    {
      "id": "35a4a948-xxxx-xxxx-xxxx-2e6ad7a02dc7",
      "xmlaPermissions": "ReadOnly"
    },
    {
      "id": "064ef46d-xxxx-xxxx-xxxx-fd6dda7a467b",
      "xmlaPermissions": "ReadOnly"
    }
  ],
  "reports": [
    {
      "allowEdit": false,
      "id": "9e81ebf7-xxxx-xxxx-xxxx-5a6294b43d55"
    }
  ],
  "identities": [
    {
      "username": "YourUsename",
      "datasets": [
        "35a4a948-xxxx-xxxx-xxxx-2e6ad7a02dc7"
      ],
      "roles": [
        "YourRole"
      ]
    }
  ],
  "datasourceIdentities": [
    {
      "identityBlob": "eyJ…",
      "datasources": [
        {
          "datasourceType": "Sql",
          "connectionDetails": {
            "server": " YourServerName.database.windows.net",
            "database": " YourDatabaseName "
          }
        }
      ]
    }
  ]
}

Følgende eksempel viser en innebygd Power BI-rapport med SSO og RLS brukt på datasettet: