Terraform配置Entra组PIM：azuread_users获取principal_id类型错误求助

问题描述 #

在使用Terraform为Entra组配置特权身份管理（PIM）时，执行代码遇到以下类型不匹配错误：

│ Error: Incorrect attribute value type
│ 
│   on .terraform/modules/entra/groups/main.tf line 35, in resource "azuread_privileged_access_group_assignment_schedule" "group-pim-assignment":
│   35:   principal_id    = data.azuread_users.group-members-users[each.key]
│     ├────────────────
│     │ data.azuread_users.group-members-users is object with 1 attributes
│     │ each.key is "group_01"
│ 
│ Inappropriate value for attribute "principal_id": string required.

错误原因 #

azuread_privileged_access_group_assignment_schedule的principal_id字段要求传入单个字符串类型的用户对象ID，但当前代码直接引用了azuread_users数据源的整个对象，而该数据源返回的是包含object_ids列表的结构体，导致类型不匹配。

解决方案 #

根据需求场景，分两种情况修正：

场景1：每个组仅分配单个用户到PIM #

如果每个组的users_pim列表仅包含一个用户，直接从object_ids列表中取第一个元素即可：

1. 修正azuread_privileged_access_group_assignment_schedule的principal_id字段：

resource "azuread_privileged_access_group_assignment_schedule" "active-pim-assignment" {
  for_each = var.entra_groups

  group_id        = azuread_group.group[each.key].object_id
  # 从object_ids列表中取第一个用户的ID
  principal_id    = data.azuread_users.group-members-users[each.key].object_ids[0]
  assignment_type = each.value["assignment_type"]
  duration        = "P180D"
  justification   = "as requested"
}

2. 开启azuread_users数据源的ignore_missing参数，避免用户不存在时执行失败：

data "azuread_users" "group-members-users" {
  for_each             = var.entra_groups
  user_principal_names = each.value.users_pim
  ignore_missing       = true
}

场景2：每个组支持分配多个用户到PIM #

如果需要给一个组的多个用户配置PIM，调整resource的for_each逻辑，遍历每个组下的所有用户，生成独立的PIM分配实例：

# 修正数据源的ignore_missing参数
data "azuread_users" "group-members-users" {
  for_each             = var.entra_groups
  user_principal_names = each.value.users_pim
  ignore_missing       = true
}

# 遍历所有组下的用户，生成独立的PIM分配
resource "azuread_privileged_access_group_assignment_schedule" "active-pim-assignment" {
  for_each = {
    for group_key, group in var.entra_groups :
    # 生成唯一的资源键：组名-用户名
    "${group_key}-${user}" => {
      group_id        = azuread_group.group[group_key].object_id
      # 根据用户名在users_pim中的索引，匹配对应的object_id
      principal_id    = data.azuread_users.group-members-users[group_key].object_ids[index(group.users_pim, user)]
      assignment_type = group.assignment_type
    }
    for user in group.users_pim
  }

  group_id        = each.value.group_id
  principal_id    = each.value.principal_id
  assignment_type = each.value.assignment_type
  duration        = "P180D"
  justification   = "as requested"
}

关键说明 #

• azuread_users数据源的object_ids字段是列表类型，顺序与输入的user_principal_names完全对应，因此可以通过索引或遍历的方式获取单个用户的ID。
• 开启ignore_missing = true可以避免因用户不存在导致Terraform执行中断，同时会自动忽略不存在的用户。

内容的提问来源于stack exchange，提问作者SRE