容器应用ACR集成启用System Managed Identity：Terraform配置报错求助

原本容器应用采用服务主体（SP）认证访问Azure容器注册表（ACR），Terraform配置如下：

registry {
  server               = var.acr_registry_name
  username             = var.acr_sp_id
  password_secret_name = "acr-pass"
}

切换为托管身份（Managed Identity）认证后，Terraform部署时报错：

"message":"Failed to provision revision for container app 'container-app-dev'. Error details: The following field(s) are either invalid or missing. Field 'configuration.Registries.devacr.azurecr.io.Identity' is invalid with details: 'Invalid value: "SystemAssigned": Managed Identity does not exist';.."},"startTime":"2025-03-26T11:46:32.5140204"}

手动配置该认证方式可正常工作，但Terraform部署失败，需排查是否存在已知BUG或遗漏配置步骤。

结合报错信息和手动配置正常的情况，基本可以排除Azure平台BUG，大概率是Terraform配置遗漏了关键步骤，以下是需要检查的点：

• 确认容器应用已启用系统分配托管身份
  报错提示"Managed Identity does not exist"，说明Terraform在配置ACR身份认证时，容器应用的系统分配身份还未创建或未生效。需确保在Terraform代码中先启用容器应用的系统分配身份，示例配置：

  resource "azurerm_container_app" "example" {
    # 其他必填配置（名称、资源组、环境等）
    identity {
      type = "SystemAssigned"
    }
    # 其他配置...
  }
  

  注意：身份配置需在registry块之前定义，或通过depends_on显式声明依赖关系，避免Terraform先配置ACR认证再创建身份。

• 为托管身份授予ACR的拉取权限
  即使启用了身份，若未给该身份分配ACR的AcrPull角色，也会导致认证失败。需在Terraform中添加角色分配：

  resource "azurerm_role_assignment" "container_app_acr_pull" {
    scope                = azurerm_container_registry.example.id
    role_definition_name = "AcrPull"
    principal_id         = azurerm_container_app.example.identity[0].principal_id
  }
  

• 检查registry块的身份配置格式
  切换托管身份后，registry块需移除username和password_secret_name字段，改用identity字段指定身份类型，示例正确配置：

  registry {
    server   = var.acr_registry_name
    identity = "SystemAssigned"
  }
  

  确保没有残留SP相关的配置字段，避免Terraform解析冲突。

• 验证Terraform资源的依赖顺序
  若容器应用和ACR是同一套Terraform代码部署，需确保ACR先创建完成，再创建容器应用的身份和角色分配，最后配置容器应用的registry认证。可通过depends_on强制指定依赖：

  resource "azurerm_container_app" "example" {
    # 其他配置
    depends_on = [azurerm_role_assignment.container_app_acr_pull]
  }
  

内容的提问来源于stack exchange，提问作者Coder