PBI Auth Manager

Credenciais Power BI

Service Principals e Master Users cadastrados

💡 Prefere automatizar em vez de seguir o Guia Azure manualmente? Baixe o script acima e rode no computador do seu time de TI — ele cria tudo no Azure sozinho e já cadastra a credencial aqui.

Usuários do Portal

Pessoas da sua equipe que só visualizam relatórios — sem nenhum acesso administrativo

ℹ️ Importante: as pessoas cadastradas aqui só conseguem ver os relatórios que você atribuir a elas — não têm acesso a credenciais, configurações, nem podem criar outros usuários. Não existe hoje uma forma de convidar um segundo administrador com o mesmo acesso que o seu.

Todos 0

Ativos 0

Inativos 0

Sem credencial 0

Grupos / Departamentos

Organize relatórios e usuários por grupo — todo mundo do grupo recebe os relatórios automaticamente

Personalização

Seu próprio endereço, cor e logo — só disponível com o plano Master ativo

Nova credencial Power BI

Secrets criptografados com AES-256 antes de salvar

Selecionar credencial para editar

Service Principal

Client Credentials (recomendado)

Master User

ROPC — Usuário + Senha AAD

Nome da conexão *

Tenant ID *

Client ID *

Client Secret *

Secret válido até *

Workspace ID padrão (opcional)

Guia de configuração — Azure AD + Power BI

Passo a passo técnico para liberar o acesso via API. Escolha o tipo de conexão que vai usar.

Vídeo passo a passo

Service Principal

Master User

Carregando vídeo…

Pra ativar "Entrar com Microsoft" pra sua empresa, você só precisa colar o Tenant ID do Azure AD na aba Configurações — é isso, um único campo, sem precisar criar nada no Azure.

Acesse portal.azure.com com a conta administrativa da sua empresa.
No menu (ou na busca), vá em Microsoft Entra ID (esse é o nome atual do Azure AD).
Na página Visão geral (Overview), procure o campo Tenant ID (também aparece como "ID de locatário" em português).
Clique no ícone de copiar ao lado do valor — é um código no formato xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.
Volta aqui no sistema → aba Configurações → cola no campo "Azure AD Tenant ID da empresa" → Salvar.

ℹ️ Depois de salvo, todo mundo da empresa (você e seus usuários) já pode usar o botão "Entrar com Microsoft" na tela de login — não precisa repetir esse passo por pessoa, é uma configuração única por empresa.

Vai usar capacidade Fabric? Leia antes de contratar

Se a intenção é economizar pausando a capacidade fora do horário de uso (esse app já tem essa automação em Configurações), o modelo de contratação escolhido no momento da compra determina se essa economia realmente acontece.

Pay-as-you-go (cobrança por hora/segundo)

É o modelo padrão ao contratar pelo portal do Fabric/Power BI escolhendo Subscription + Resource Group do Azure. Pausada, a capacidade não gera custo de computação — é literalmente pra isso que serve o pause/resume.

Reserva (1 ou 3 anos)

Já foi pago antecipado pelo período inteiro. Pausar não devolve nem economiza dinheiro — só significa "não estou usando o que já paguei". Só compensa financeiramente com uso contínuo.

ℹ️ Independente do modelo escolhido: o armazenamento no OneLake (os dados dentro dos workspaces vinculados) é cobrado à parte, como medidor separado — continua rodando mesmo com a capacidade pausada, porque é custo de guardar o dado, não de processar.

💡 Como confirmar na prática: depois de configurar o agendamento, veja no Azure Cost Management (Custos → Cost analysis, filtrando pelo recurso da capacidade) se o consumo realmente zera nas janelas pausadas — isso confirma qual modelo vocês têm, sem depender só da documentação.

Service Principal

Recomendado para produção

Master User

Mais simples, com limitações

⚠️ Quem consegue fazer esse fluxo: as etapas 3 e 4 abaixo (conceder permissões de API e habilitar Service Principals no Power BI) só podem ser feitas por quem é Administrador do Azure AD (Global Administrator / Application Administrator) e Administrador do Power BI (Fabric/Power BI Administrator) na organização do cliente — normalmente é o time de TI, não quem está fazendo o teste do produto.

1️⃣ Criar o App Registration no Azure AD

Acesse portal.azure.com → Microsoft Entra ID (antigo Azure AD) → App registrations → New registration.
• Dê um nome (ex: "PBI Embed - Nome da Empresa").
• Em "Supported account types", escolha "Accounts in this organizational directory only" (single-tenant).
• Redirect URI: pode deixar em branco.
Depois de criado, na página Overview do app, anote:

Application (client) ID → vira o Client ID Directory (tenant) ID → vira o Tenant ID

2️⃣ Criar o Client Secret

Dentro do app registration → Certificates & secrets → New client secret.
• Dê uma descrição.
• Escolha a validade (expiration): as opções do Azure são normalmente 3, 6, 12, 18, 24 meses, ou uma data customizada. Recomendado: 24 meses (o máximo), pra não precisar renovar com frequência.

⚠️ Atenção — isso derruba a integração se for esquecido: o valor do secret (coluna "Value") só aparece uma única vez, no momento em que é criado. Se sair da tela sem copiar, precisa gerar outro. E quando a validade escolhida vencer, os relatórios param de carregar (a geração de token falha) até alguém gerar um novo secret no Azure e atualizar a credencial aqui no sistema. Recomendamos anotar a data de expiração em um lembrete/calendário.

3️⃣ Conceder permissões de API (Power BI Service)

Dentro do app registration → API permissions → Add a permission → Power BI Service.
• Tipo: Application permissions (não "Delegated" — o Service Principal age sozinho, sem usuário logado).
• Marque pelo menos: Tenant.Read.All (leitura) ou Tenant.ReadWrite.All (se for gerenciar conteúdo também).
• Depois de adicionar, clique em "Grant admin consent for [organização]".

⚠️ Sem o "Grant admin consent", as permissões ficam com status "Not granted" e toda chamada de API falha com erro 401/403 — mesmo com o Client Secret certo.

4️⃣ Habilitar Service Principals no Power BI (Admin Portal)

Acesse app.powerbi.com → ⚙️ Configurações → Portal de administração → Configurações do inquilino (Tenant settings).
Procure a seção "Configurações do desenvolvedor" → "Permitir que as entidades de serviço usem APIs REST do Power BI" ("Allow service principals to use Power BI APIs").
• Habilite (Enabled).
• Escolha o escopo: toda a organização, ou (mais seguro) crie um Security Group no Azure AD, adicione o Service Principal como membro, e restrinja a configuração só a esse grupo.

ℹ️ Essa configuração pode levar até 15 minutos para propagar depois de habilitada — se testar na hora e der erro, aguarde um pouco antes de investigar mais.

5️⃣ Dar acesso ao Workspace

No workspace do Power BI que vai ser usado → Acesso (Access) → adicionar o Service Principal.
• Busque pelo nome do App Registration (Service Principals às vezes não aparecem numa busca por e-mail).
• Papel recomendado: Member (suficiente pra visualizar/embutir relatórios). Use Admin só se também for publicar/gerenciar conteúdo por API.

6️⃣ Testar aqui no sistema

Com Tenant ID, Client ID e Client Secret em mãos, vá em "+ Credencial", escolha "Service Principal", preencha os campos e salve. Depois use a aba "⚡ Testar Auth" para validar antes de vincular a relatórios.

⚠️ Master User é mais simples de configurar, mas tem limitações importantes: depende de uma licença individual (Pro/PPU), é sensível a troca de senha, e a Microsoft vem desencorajando esse fluxo (ROPC) por motivos de segurança. Use para testes/POC ou ambientes pequenos — para produção com muitos clientes, Service Principal é o caminho recomendado.

1️⃣ Ter uma conta com licença Power BI Pro ou PPU

O usuário que vai servir de "conta mestre" precisa ter licença Power BI Pro ou Premium Per User (PPU) atribuída — sem isso, a geração de embed falha. Recomendado: criar uma conta de serviço dedicada (ex: pbi-embed@suaempresa.com), em vez de usar a conta pessoal de alguém do time.

2️⃣ Criar o App Registration (permissões Delegated)

Mesmo caminho do passo 1 do Service Principal (Azure AD → App registrations → New registration), mas aqui as permissões de API são Delegated permissions (não "Application") — já que a autenticação usa um usuário real por trás.
Em API permissions → Power BI Service → Delegated permissions, adicione o necessário (ex: Report.Read.All, Dataset.Read.All).

3️⃣ Habilitar "Allow public client flows"

Dentro do app registration → Authentication → seção Advanced settings → "Allow public client flows" → Yes.
Isso é obrigatório para o fluxo usado (usuário + senha direto, sem tela de login interativa) funcionar.

4️⃣ Desabilitar MFA para essa conta específica

O fluxo Master User autentica com usuário + senha direto (ROPC). Isso não funciona se a conta tiver MFA (autenticação multifator) habilitado.

⚠️ Isso é uma redução real de segurança — por isso a recomendação forte de usar uma conta de serviço dedicada (passo 1), com uma Conditional Access policy excluindo só essa conta específica do MFA, em vez de desabilitar MFA pra conta de uma pessoa de verdade.

5️⃣ Testar aqui no sistema

Com Tenant ID, Client ID, usuário (UPN) e senha em mãos, vá em "+ Credencial", escolha "Master User", preencha e salve. Depois valide na aba "⚡ Testar Auth".

Novo usuário gerenciado

Crie um acesso ao portal de relatórios

Foto

Nome completo *

E-mail *

Empresa (tenant) *

Credencial Power BI vinculada *

Senha de acesso

Gerar automaticamente Definir manualmente

Senha personalizada

Empresas cadastradas

Monitoramento — suspenda/reative/cancele. Cadastro de empresa é feito pelo site.

Nova empresa

O admin da empresa receberá os dados de acesso por e-mail

Nome da empresa *

E-mail do admin *

Senha inicial *

Plano

Configuração de E-mail

SMTP SendGrid — credenciais para envio automático

Host SMTP *

Porta *

Usuário SMTP *

Para o SendGrid use sempre: apikey

Senha (API Key) *

Deixe em branco para manter a chave atual

E-mail remetente *

Deve ser verificado no SendGrid

Nome do remetente

URL do sistema

Usada nos botões dos e-mails enviados

E-mail para teste

Endereço que receberá o e-mail de teste

Vídeos do Guia Azure

Aparecem pra todos os admins na aba "Guia Azure"

Contratos

Contrato mensal gera 12 parcelas automaticamente

Parcelas em atraso (todas as empresas)

Carousels

Crie e gerencie seus carousels de relatórios

Fila de Relatórios

Relatórios exibidos em sequência automática

Novo item do carousel

Identifique o relatório e configure as opções

1 · Identificar relatório

2 · Buscar páginas

3 · Selecionar & salvar

Nome de exibição *

Workspace

Report ID

Dataset ID (preenchido ao selecionar)

RLS do Dataset

—

Role RLS (deixe vazio se não usar)

Username RLS (opcional)

Configurações

SSO, capacidade Fabric e agendamento

Permite que você e seus usuários entrem clicando em "Entrar com Microsoft", usando a conta do Microsoft 365/Azure AD da empresa — sem precisar cadastrar senha separada. Pra ativar, informe o Tenant ID do Azure AD da sua empresa (encontrado no Azure Portal → Microsoft Entra ID → Visão geral). Só quem loga vindo desse Tenant ID específico tem acesso — ninguém de fora entra por engano. Passo a passo com mais detalhe em Guia Azure.

Azure AD Tenant ID da empresa

Permitir que qualquer pessoa da empresa crie a própria conta automaticamente ao logar com Microsoft pela primeira vez.
⚠️ Desligado por padrão. Com o Tenant ID sozinho (acima), o SSO só funciona pra quem já tem conta cadastrada — ninguém novo entra sem você criar a conta primeiro. Só ligue isso se realmente quiser que qualquer funcionário com e-mail Microsoft daquela empresa consiga entrar sozinho, sem você precisar cadastrar um por um.

Usuário criado automaticamente (só se o interruptor acima estiver ligado) entra sem relatório atribuído — você atribui depois, normal.

Capacidade Fabric

Agendamento de pausa/retomada

ℹ️ Isso pausa e retoma a capacidade Fabric/Premium inteira (economiza custo fora do horário de uso) — é diferente das credenciais de embedding de relatório. Requer uma credencial Service Principal com role Contributor (ou "Capacity Administrator") na capacidade, dentro do Azure — permissão separada da API do Power BI. A "Pausa" acontece todo dia no horário definido; a "Retomada" só acontece nos dias marcados como ativos — assim um fim de semana sem dias ativos fica pausado o período inteiro.

⚠️ Antes de contratar/configurar: essa economia só existe se a capacidade foi comprada como pay-as-you-go. Se for uma Reserva (1 ou 3 anos), pausar não economiza nada. Veja o comparativo completo em Guia Azure.

Monitoramento

Dados em tempo real via API — status de atualização e atividade recente

Status de atualização dos datasets

Carregando…

Atividade recente (últimas 24h)

Carregando…

Logs de Acesso

Quem acessou qual relatório, quando, e de onde

Relatórios mais acessados (últimos 30 dias)

Carregando…

Últimos acessos

Usuário	Relatório	Credencial	IP	Abertura	Fechamento
Carregando…

📜 Histórico de refresh de dataset (Portal + Carousel)

Últimas 50 tentativas — inclui sucesso, falha, e o motivo do erro quando houver

Carregando…

Histórico de geração/renovação de token

Últimas 50 tentativas — mostra se usava RLS, quais páginas, e o erro quando houver

Carregando…

Histórico de listagem de workspaces

Últimas 50 tentativas de listar workspaces por credencial

Carregando…

Nome (apelido) *

Credencial Service Principal *

Tipo de recurso

Subscription ID *

Resource Group *

Nome da capacidade (Azure) *

Ativar agendamento automático

Retomar às

Pausar às

Dias ativos (retomada só ocorre nesses dias)

Seg Ter Qua Qui Sex Sáb Dom

Timezone

Configuração de alertas

Ativados

Limite de CU% pra alertar

Além do limite de CU, o sistema também avisa sozinho sobre: pausa inesperada fora do horário agendado, e secret da credencial vencendo em breve.

Histórico de alertas