将服务连接转为工作负载标识后无法执行Terraform

1. 确认配置正确性 #

先确保你的Terraform后端配置文件（如backend.tf）已正确更新认证参数，原有存储账户、容器、密钥等核心配置保持不变：

terraform {
  backend "azurerm" {
    storage_account_name = "你的存储账户名"
    container_name       = "tfstate"
    key                  = "terraform.tfstate"
    use_azuread_auth     = true
    use_oidc             = true
  }
}

同时provider配置也要同步更新：

provider "azurerm" {
  features {}
  use_oidc = true
}

2. 执行状态迁移命令 #

因为后端认证配置变更，Terraform会识别为新的后端实例，需要通过初始化命令强制迁移现有状态：

terraform init -migrate-state

执行时Terraform会提示检测到后端配置变化，询问是否迁移状态，输入yes确认即可。

3. 验证迁移结果 #

迁移完成后，执行以下命令确认状态能正常读取：

terraform state list

如果能正常列出资源，说明迁移成功，后续的plan、apply命令即可正常执行。

关键注意事项 #

• 确保Azure DevOps的WLID服务连接拥有Terraform状态存储账户的Storage Blob Data Contributor权限，避免迁移时出现权限错误。
• 禁止手动修改状态文件，所有操作通过Terraform官方命令完成，防止状态损坏。
• 若迁移时出现权限问题，先检查服务连接的权限配置，修正后重新执行迁移命令。

内容的提问来源于stack exchange，提问作者ITPRO85