Azure DevOps中TerraformTaskV4跨订阅初始化（含工作流身份联合）

核心配置逻辑 #

针对你遇到的跨订阅+工作流身份联合服务连接场景，关键要做两件事：

• 明确指定目标订阅ID：利用服务主体的多订阅权限，覆盖服务连接默认绑定的订阅，让Terraform指向要部署的目标订阅
• 适配工作流身份联合验证：TerraformTaskV4原生支持这种无密码身份验证方式，只需正确引用服务连接即可自动通过OIDC获取临时凭据

完整YAML流水线示例 #

steps:
- task: TerraformTaskV4@4
  displayName: 'Terraform Init'
  inputs:
    provider: 'azurerm'
    command: 'init'
    # 你的Terraform代码所在目录
    workingDirectory: '$(System.DefaultWorkingDirectory)/terraform'
    # 以下是后端状态存储配置（如果用Azure Blob作为状态后端）
    backendServiceArm: '你的工作流身份联合服务连接名称'
    backendAzureRmResourceGroupName: '状态存储资源组名'
    backendAzureRmStorageAccountName: '状态存储账户名'
    backendAzureRmContainerName: '状态存储容器名'
    backendAzureRmKey: 'terraform.tfstate'
    # 引用工作流身份联合服务连接
    azureSubscription: '你的工作流身份联合服务连接名称'
    # 关键：指定要部署的目标订阅ID
    subscriptionId: 'xxxx-xxxx-xxxx-xxxx'

关键参数说明 #

• subscriptionId：必须手动填入目标订阅的UUID，这样Terraform会跳过服务连接默认的订阅，直接使用你指定的目标订阅
• azureSubscription：直接引用已创建的工作流身份联合服务连接即可，任务会自动处理OIDC身份验证，无需额外配置凭据
• 后端存储相关参数：如果你的Terraform状态存在Azure Blob里，确保服务连接的服务主体拥有该存储账户的读写权限

额外检查项 #

1. 确认服务主体在目标订阅中已被授予足够权限（比如Contributor、或更细粒度的资源部署权限）
2. 如果Terraform代码的azurerm provider块里硬编码了subscription_id，要么删除该配置，要么和YAML里的subscriptionId保持一致
3. 在Azure门户中验证服务主体的角色分配：进入目标订阅 → 访问控制(IAM) → 检查该服务主体的权限是否生效

内容的提问来源于stack exchange，提问作者qvt