Azure Terraform Init任务认证失败：提示需执行az login

问题根源 #

你的Terraform init任务在尝试通过Azure CLI拉取订阅信息，但流水线环境里没有提前完成CLI登录，导致认证失败。虽然订阅配置了Owner角色，但任务的参数组合没正确用上服务连接的凭据，反而走了CLI认证的逻辑。

修正方案 #

• 移除冲突的认证参数：你同时开启了backendAzureRmUseEnvironmentVariablesForAuthentication: true和backendAzureRmUseEntraIdForAuthentication: true，这会让任务优先使用环境变量或交互式Entra ID认证，忽略你配置的backendServiceArm服务连接。删掉这两个参数，让任务直接用服务连接的凭据完成认证。

  修改后的任务配置：

  - task: TerraformTaskV4@4
    inputs:
     provider: 'azurerm'
     command: 'init'
     workingDirectory: '$(System.DefaultWorkingDirectory)/terraform'
     commandOptions: '-migrate-state'
     # 移除以下两个冲突参数
     # backendAzureRmUseEnvironmentVariablesForAuthentication: true
     # backendAzureRmUseEntraIdForAuthentication: true
     backendServiceArm: 'xxxxxxxxxx'
     backendAzureRmResourceGroupName: 'rg-terrstore-dev'
     backendAzureRmStorageAccountName: 'saterrstordev'
     backendAzureRmContainerName: 'terraformstates'
     backendAzureRmKey: 'terraform-dev.tfstate'
  

• 确认服务连接权限：确保backendServiceArm对应的服务主体（或托管标识）拥有存储账户的Contributor角色——哪怕是订阅Owner，也可能因为RBAC细粒度控制，没有存储容器的读写权限，这会影响tfstate文件的操作。

• 检查代理环境：如果使用自托管代理，要保证代理上的Azure CLI版本和任务兼容，同时清理残留的旧认证会话；使用微软托管代理的话，一般无需额外调整CLI版本。

额外说明 #

当你配置backendServiceArm时，Terraform任务会自动生成ARM_CLIENT_ID、ARM_CLIENT_SECRET这类环境变量来完成认证，完全不需要依赖Azure CLI登录。之前的参数设置打乱了这个默认逻辑，才导致任务跑去CLI请求认证信息，触发了错误。

内容的提问来源于stack exchange，提问作者ramesh reddy