ADO中TerraformCLI@1 Init任务报az login错误，求排查建议

场景重现 #

在Azure DevOps YAML流水线中使用Jason Johnson的TerraformCLI@1任务执行init操作时，触发认证失败错误，但同个服务连接在AzureCLI@2任务中执行az account show可正常工作。使用的任务配置如下：

- task: TerraformCLI@1
  displayName: 'Terraform Init'
  inputs:
    provider: 'azurerm'
    command: 'init'
    workingDirectory: '$(Pipeline.Workspace)/ProjectFiles'
    backendServiceArm: "ado-sub-Contributor-${{ parameters.ServiceConnectionBU }}-${{ env.name }}-$(System.TeamProject)"
    commandOptions: '-backend-config=$(Pipeline.Workspace)/ProjectFiles/${{ env.backendConfigFile }}'

错误信息：

Error: Error building ARM Config: obtain subscription(4b730757-1457-4ab7-9091-7f9ce3e26c46) from Azure CLI: parsing json result from the Azure CLI: waiting for the Azure CLI: exit status 1: ERROR: Please run 'az login' to setup account.

可能原因 #

• TerraformCLI@1任务未正确将服务连接的认证信息传递给AzureRM Provider，导致Provider尝试依赖本地Azure CLI上下文
• backend-config文件中的配置可能覆盖了服务连接的订阅信息，或包含需要手动CLI登录的参数
• 流水线任务间的上下文隔离，导致AzureCLI@2的认证状态未被TerraformCLI@1继承

解决建议 #

1. 检查backend-config文件内容
   确认文件中未指定与服务连接冲突的subscription_id，或其他需要本地CLI登录的配置项。若后端使用Azure存储账户，确保配置的存储账户可被服务连接的服务主体访问。

2. 强制使用服务主体认证而非CLI上下文
   在TerraformCLI@1任务中添加useAzureCLIAuth: false参数，强制任务通过服务连接的服务主体完成认证，避免依赖Azure CLI：

   - task: TerraformCLI@1
     displayName: 'Terraform Init'
     inputs:
       provider: 'azurerm'
       command: 'init'
       workingDirectory: '$(Pipeline.Workspace)/ProjectFiles'
       backendServiceArm: "ado-sub-Contributor-${{ parameters.ServiceConnectionBU }}-${{ env.name }}-$(System.TeamProject)"
       commandOptions: '-backend-config=$(Pipeline.Workspace)/ProjectFiles/${{ env.backendConfigFile }}'
       useAzureCLIAuth: false
   

3. 显式指定订阅ID
   在commandOptions中添加订阅ID参数，确保Terraform使用服务连接对应的订阅：

   commandOptions: '-backend-config=$(Pipeline.Workspace)/ProjectFiles/${{ env.backendConfigFile }} -var subscription_id=4b730757-1457-4ab7-9091-7f9ce3e26c46'
   

   也可在Terraform变量文件中预先定义订阅ID，避免依赖CLI上下文。

4. 前置Azure CLI上下文配置
   在TerraformCLI任务前添加AzureCLI@2任务，显式设置订阅上下文，确保后续任务继承正确的认证状态：

   - task: AzureCLI@2
     displayName: 'Set Azure Subscription Context'
     inputs:
       azureSubscription: "ado-sub-Contributor-${{ parameters.ServiceConnectionBU }}-${{ env.name }}-$(System.TeamProject)"
       scriptType: 'pscore'
       inlineScript: |
         az account set --subscription 4b730757-1457-4ab7-9091-7f9ce3e26c46
   

5. 验证服务连接权限
   确认服务连接对应的服务主体拥有目标订阅的访问权限，以及后端存储账户的必要权限（如Storage Blob Data Contributor），权限不足可能被误判为认证未完成。

内容的提问来源于stack exchange，提问作者Masterchiefxx17