ADO中Linux自托管代理下Terraform服务主体变量缺失问题求助

1. 修复AzureCLI@2任务的变量传递 #

addSpnToEnvironment: true 生成的 ARM_* 变量仅在当前AzureCLI任务的脚本上下文内有效，若要传递给后续Terraform任务，需显式导出为流水线变量：

- task: AzureCLI@2
  displayName: 'Azure CLI Login & Export ARM Variables'
  inputs:
    azureSubscription: '<你的服务连接名称>'
    scriptType: 'bash'
    scriptLocation: 'inlineScript'
    inlineScript: |
      # 验证环境变量是否生成
      echo "ARM_CLIENT_ID: $ARM_CLIENT_ID"
      echo "ARM_TENANT_ID: $ARM_TENANT_ID"
      echo "ARM_SUBSCRIPTION_ID: $ARM_SUBSCRIPTION_ID"
      
      # 将变量导出为流水线变量，供后续任务使用
      echo "##vso[task.setvariable variable=ARM_CLIENT_ID]$ARM_CLIENT_ID"
      echo "##vso[task.setvariable variable=ARM_CLIENT_SECRET]$ARM_CLIENT_SECRET"
      echo "##vso[task.setvariable variable=ARM_TENANT_ID]$ARM_TENANT_ID"
      echo "##vso[task.setvariable variable=ARM_SUBSCRIPTION_ID]$ARM_SUBSCRIPTION_ID"
    addSpnToEnvironment: true

执行后查看任务日志，确认ARM_*变量已正常输出，若仍为空，需检查服务连接是否为服务主体类型（而非托管标识），且服务主体的密钥未过期、权限正常。

2. 正确在Terraform任务中注入变量 #

若手动注入内置变量未生效，需使用ADO编译时变量引用（${{ variables.<name> }}）而非运行时变量（$(...)），并确保Terraform任务关联同一服务连接：

- task: TerraformCLI@0
  displayName: 'Terraform Init'
  inputs:
    command: 'init'
    workingDirectory: '<你的Terraform代码目录>'
    backendType: 'azurerm'
    backendServiceArm: '<你的服务连接名称>'
    backendAzureRmResourceGroupName: '<后端存储账户资源组>'
    backendAzureRmStorageAccountName: '<后端存储账户名称>'
    backendAzureRmContainerName: '<存储容器名称>'
    backendAzureRmKey: 'terraform.tfstate'
  env:
    ARM_CLIENT_ID: ${{ variables.servicePrincipalId }}
    ARM_CLIENT_SECRET: ${{ variables.servicePrincipalKey }}
    ARM_TENANT_ID: ${{ variables.tenantId }}
    ARM_SUBSCRIPTION_ID: ${{ variables.subscriptionId }}

3. 排查自托管代理环境问题 #

• 确认Ubuntu代理上的Azure CLI版本≥2.45.0，可在代理上执行az --version验证，版本过低可能导致addSpnToEnvironment功能异常。
• 检查代理网络是否能访问Azure AD端点（login.microsoftonline.com、management.azure.com），若代理在私有网络中，需确保出站规则允许这些地址。
• 确认代理服务账户有足够权限读取服务连接的变量，避免权限不足导致变量无法注入。

4. 验证Terraform Provider配置 #

确保azurerm provider未硬编码认证信息，仅保留features块，让其自动读取环境变量：

provider "azurerm" {
  features {}
}

内容的提问来源于stack exchange，提问作者Marco Jr