最近忽然对SSAS产生了浓厚兴趣，我看博客园上也米有写关于SSAS 2016下表格模型实现动态权限管理的文章，最近鼓捣了一下微软的样例，鼓捣好了，把过程中遇到的一些问题写出来，抛砖引玉，也算给自己一个交代。

首先放出微软官网的教程：

https://docs.microsoft.com/zh-cn/power-bi/desktop-tutorial-row-level-security-onprem-ssas-tabular?from=singlemessage&isappinstalled=0

要点主要是SSAS Tabular表格模型在SSAS 2016之后多加了2个DAX函数，分别是username()和lookupvalue()，配合使用就可以返回需要在dim表中过滤的Key值，从而过滤返回结果的范围，本质上还是行筛选器的应用。

在微软的样例中，DAX表达式=DimSalesTerritory[SalesTerritoryKey]=LOOKUPVALUE(DimUserSecurity[SalesTerritoryID], DimUserSecurity[UserName], USERNAME(), DimUserSecurity[SalesTerritoryID], DimSalesTerritory[SalesTerritoryKey])的返回值只有一个，因为在配置表中这名用户只有一个区域Key，如果用户配置成了拥有多个区域的Key，也就是配置表中拥有多行记录，那么返回函数会返回多个Key值，无需修改DAX表达式。

所以我们依然需要在设计模型的时候添加角色，在角色中添加真正的用户，但是这个角色的含义是所有权限需要动态控制的用户的列表，理论上会添加很多人，但是只要添加好一次，在因为业务原因权限发生变动的时候，就无需重新修改和部署这个Tabular表格模型中的角色了。

还有一个需要注意的点是，我们在SSDT中开发Tabular表格模型项目的时候，需要本身运行SSDT的账号在SSAS实例下拥有admin权限，但是admin权限过大了，不会受到模型中角色的权限限制，这个无论是静态写死的角色还是动态赋权的角色都是如此，也符合微软一贯的权限管理模型模式，即管理员不受任何权限控制。那么如何在SSDT中使用在excel中测试这个选项来测试角色权限呢？过程有些曲折但是确实可行，我已经在我本地测试成功了，步骤如下：

1.使用ssas下具有admin权限的用户在SSDT中开发设计模型完毕，rebuild all success，然后关闭项目；

2.run as different user打开SSDT不好使，因为你run as different user确实打开了另一个用户上下文的SSDT，但是到使用execl中测试这个功能的时候，就是你当前登陆桌面使用的用户了，不是SSDT中你run as different那个了；

3.所以需要用真正需要测试权限的用户登陆项目所在机器的RDP，打开SSDT，process数据，但是又遇到权限不够的问题无法打开项目的问题，怎么办?

4.临时将需要测试权限的用户在SSAS中赋予admin权限，使这名用户可以成功在SSDT中打开项目，process数据，标志是可以在SSDT中看到数据行；

5.填充完数据之后，把这个普通用户的SSAS admin权限拿掉，然后再点击按钮，使用在excel中测试，用户名就选当前用户；

6.如果之前的模型设计，权限设置，行筛选器都配置的没有问题，那么在新打开的excel中就能看到过滤后的效果了。

所以动态权限的管理，无论是在多维数据集模型下还是在表格模型下，都是从dim 表中各个在事实表中关联的Key值上下手，首先想办法知道当前点开这个报表的人是谁，然后查找权限表，看这个人拥有哪些key值，然后只给他看他拥有key值的那些数据。

在权限表的设计上其实也有门道，因为这个权限表实际上是存在于SQL Server或者其他关系数据库里面的一张普通表，如何确保这个表的内容不被篡改？在拥有多个需要控制权限的维度时产生的大量笛卡儿积数据如何存放和维护？我本人的做法是，每一个模型中的dim表，专门设置一个权限表，比如模型中，fact表中有10个dim表的key值，那么至多我就会设计10个权限表，每个表单独维护，然后创建权限视图，把这10个表按照username（）的返回值join起来，不丢任何一个列和行，然后在SSAS模型中添加这个权限视图，再跟fact表根据key值产生关联。

别问有没有图了，没图，微软的样例图很多。

 

BR