內嵌式分析存取權杖

適用於： 應用程式擁有資料 使用者擁有資料

取用 Power BI 內容 (例如報表、儀表板和圖格) 需要有存取權杖。 根據您的解決方案，此權杖可能會是 Microsoft Entra 權杖和/或內嵌權杖。

在為您的客戶內嵌解決方案中，應用程式會產生內嵌權杖，以向 Web 使用者授與 Power BI 內容的存取權。

注意

當您使用「為您的客戶內嵌」解決方案時，您可以使用任何驗證方法來允許對您 Web 應用程式的存取。

在為您的組織內嵌解決方案中，您的 Web 應用程式使用者會使用自己的認證來針對 Microsoft Entra ID 進行驗證。 您的客戶可以存取其有權在 Power BI 服務上存取的 Power BI 內容。

Microsoft Entra 權杖

不論是為您的客戶內嵌解決方案還是為您的組織內嵌解決方案，您都需要 Microsoft Entra 權杖。 所有的 REST API 作業都需要 Microsoft Entra 權杖，而且此權杖會在一小時後過期。

• 在「為您的客戶內嵌」解決方案中，Microsoft Entra 權杖會用來產生內嵌權杖。

• 在「為您的組織內嵌」解決方案中，Microsoft Entra 權杖會用來存取 Power BI。

您可以透過下列其中一種方式取得 Microsoft Entra 權杖：

• 使用外部的 Postman 工具來取得權杖。 如需詳細資訊，請參閱這個 Power BI 社群對話 (部分機器翻譯)。 服務主體的要求 URL 必須是 https://login.microsoftonline.com/{tenantID}/oauth2/v2.0/token，但若為主要使用者，則可以是 https://login.microsoftonline.com/{tenantID}/oauth2/v2.0/token 或 https://login.microsoftonline.com/common/oauth2/token。

• 請遵循 PowerBI-Developer-Samples (英文) 中的範例解決方案。 例如：

  • 若為「為您的客戶內嵌」，請參閱此 AadService.cs 檔案 (英文)。 在 AppOwnsData/Web.config (英文) 可以找到 authorityUrl 和 scopeBase。

  • 若為「為您的組織內嵌」，請參閱此 OwinOpenIdConnect.cs 檔案 (英文)。 在 UserOwnsData/Web.config (英文) 可以找到 authorityUrl。

  注意

  您可以在針對政府和國家/地區雲端在應用程式中內嵌內容 (部分機器翻譯) 中找到某些主權雲端的 authorityUrl 和 scopeBase 值。

內嵌的權杖

當您使用「為您的客戶內嵌」時，Web 應用程式必須知道使用者可以存取的 Power BI 內容。 請使用內嵌權杖 REST API 來產生會指定下列資訊的內嵌權杖：

• Web 應用程式使用者可以存取的內容

• Web 應用程式使用者的存取層級 (檢視、建立或編輯)

如需詳細資訊，請參閱產生內嵌權杖時的考量 (部分機器翻譯)。

驗證流程

本節會說明「為您的客戶內嵌」與「為您的組織內嵌」解決方案的不同驗證流程。

對客戶進行內嵌

「為您的客戶內嵌」解決方案會使用非互動式驗證流程。 在「為您的客戶內嵌」解決方案中，使用者不會登入 Microsoft Entra ID 來存取 Power BI。 相反地，Web 應用程式會使用保留的 Microsoft Entra 身分識別來針對 Microsoft Entra ID 進行驗證並產生內嵌權杖。 保留的身分識別可以是「服務主體」或「主要使用者」：

• 服務主體 Web 應用程式會使用 Microsoft Entra 服務主體物件來針對 Microsoft Entra ID 進行驗證，並取得「僅限應用程式的 Microsoft Entra 權杖」。 Microsoft Entra ID 建議使用這個「僅限應用程式」的驗證方法。

  在使用服務主體時，您必須在 Power BI 服務的「系統管理員」設定中啟用 Power BI API 存取權。 啟用存取權可讓 Web 應用程式存取 Power BI REST API。 若要在工作區上使用 API 作業，服務主體必須是工作區的「成員」或系統管理員。

• 主要使用者 Web 應用程式會使用使用者帳戶來針對 Microsoft Entra ID 進行驗證，並取得「Microsoft Entra 權杖」。 主要使用者帳戶必須擁有 Power BI Pro 或 Premium Per User (PPU) 授權。

  當您使用主要使用者帳戶時，您必須定義應用程式的委派權限 (也稱為範圍)。 主要使用者或租用戶系統管理員在使用 Power BI REST API 時，必須同意使用這些權限。

成功地針對 Microsoft Entra ID 進行驗證之後，Web 應用程式會產生內嵌權杖，以允許其使用者存取特定的 Power BI 內容。

注意

• 若要使用「為您的客戶內嵌」解決方案來進行內嵌，您需要具有 A、EM 或 P SKU 的容量。
• 若要移至生產環境，則需要有容量。

下圖顯示「為您的客戶內嵌」解決方案的驗證流程。

1. Web 應用程式使用者使用您的驗證方法，針對您的 Web 應用程式進行驗證。

2. Web 應用程式使用服務主體或主要使用者來針對 Microsoft Entra ID 進行驗證。

3. Web 應用程式從 Microsoft Entra ID 取得「Microsoft Entra 權杖」，並用它來存取 Power BI REST API。 您選擇的驗證方法提供 Power BI REST API 的存取權，這取決於驗證方法是服務主體還是主要使用者。

4. Web 應用程式呼叫內嵌權杖 REST API 作業，並要求內嵌權杖。 內嵌權杖指定哪些 Power BI 內容可以內嵌。

5. REST API 將內嵌權杖傳回給 Web 應用程式。

6. Web 應用程式將內嵌權杖傳遞給使用者的網頁瀏覽器。

7. Web 應用程式使用者使用內嵌權杖來存取 Power BI。

為組織內嵌

「為您的組織內嵌」解決方案會使用互動式驗證流程。 Web 應用程式使用者會使用自己的 Power BI 認證來針對 Microsoft Entra ID 進行驗證。 其必須同意在向 Microsoft Entra ID 註冊應用程式時所設定的 API 權限。 Microsoft [要求的權限] 對話方塊視窗會要求使用者授與這些權限。 在授與同意後，使用者就可以內嵌使用者可以存取的 Power BI 內容。

注意

• 「為您的組織內嵌」解決方案不支援 A SKU。

• 若要移至生產環境，您需要下列其中一個設定：

  • 所有使用者具有 Pro 授權。
  • 所有使用者具有 PPU 授權。
  • 容量或 Fabric F64 或更大的容量。 此設定可讓所有使用者擁有免費授權。

此圖顯示「為您的組織內嵌」解決方案的驗證流程範例。

1. Web 應用程式使用者存取 Web 應用程式。

2. Web 應用程式將 Web 應用程式使用者重新導向至 Microsoft Entra ID。

3. Web 應用程式使用者使用其 Power BI 認證來針對 Microsoft Entra ID 進行驗證。

4. Microsoft Entra ID 使用 Microsoft Entra 權杖將 Web 應用程式使用者重新導向回 Web 應用程式。 在隱含授與案例中，會將存取權杖傳回給使用者的瀏覽器。

5. Web 應用程式將 Microsoft Entra 權杖傳遞給使用者的網頁瀏覽器。

6. Power BI Web 應用程式使用 Microsoft Entra 權杖來內嵌 Power BI 內容，例如 Web 應用程式使用者有權存取的報表和儀表板。

相關內容

• 產生內嵌權杖時的考量
• Power BI 內嵌式分析中的容量和 SKU

更多問題嗎？ 請嘗試詢問 Power BI 社群