求助：通过Terraform与Azure DevOps跨Azure多订阅部署App Service

核心问题分析 #

当前问题本质是环境状态隔离失效：多订阅/环境共用同一状态文件引发冲突，或是Terraform工作区未正确与流水线环节关联。以下提供两种可落地的解决方案，按需选择。

方案一：独立状态文件（推荐，隔离性更强） #

为每个环境（Dev/Acc/Prod）配置独立的Terraform状态文件，存储在Azure存储账户的专属容器中，彻底规避状态冲突风险。

1. 调整Terraform代码结构 #

• 拆分变量文件：将原vars.tf拆分为环境专属的tfvars文件，比如vars/dev.tfvars、vars/acc.tfvars、vars/prod.tfvars，每个文件仅包含对应环境的配置（订阅ID、资源组名、App Service规格等）。
• 配置多Provider别名：在providers.tf中为每个订阅定义带别名的Provider：

provider "azurerm" {
  alias           = "dev"
  subscription_id = var.dev_subscription_id
  features {}
}

provider "azurerm" {
  alias           = "acc"
  subscription_id = var.acc_subscription_id
  features {}
}

provider "azurerm" {
  alias           = "prod"
  subscription_id = var.prod_subscription_id
  features {}
}

• 资源绑定对应Provider：在resources.tf中，每个环境的资源明确指定Provider别名：

# Dev环境资源
resource "azurerm_resource_group" "dev_rg" {
  provider = azurerm.dev
  name     = var.dev_rg_name
  location = var.dev_location
}

resource "azurerm_app_service_plan" "dev_plan" {
  provider = azurerm.dev
  name                = var.dev_app_service_plan_name
  resource_group_name = azurerm_resource_group.dev_rg.name
  location            = azurerm_resource_group.dev_rg.location
  sku_name            = var.dev_sku_name
}

# Acc/Prod环境资源同理，替换provider为azurerm.acc/azurerm.prod

2. 调整Azure DevOps流水线模板 #

以dev/deployTodev.yml为例，配置独立状态存储与环境变量：

steps:
# 安装固定版本Terraform，避免兼容性问题
- task: TerraformInstaller@0
  inputs:
    terraformVersion: '1.5.0'

# 初始化Terraform，指定Dev环境专属状态存储
- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'init'
    backendServiceArm: '$(serviceconnection)'
    backendAzureRmResourceGroupName: 'tfstate-resource-group' # 存储状态文件的资源组
    backendAzureRmStorageAccountName: 'your-tfstate-storage-account' # 状态存储账户名
    backendAzureRmContainerName: 'tfstate-dev' # Dev环境专用容器
    backendAzureRmKey: 'appservice.tfstate' # 状态文件名

# 执行Plan，加载Dev环境变量
- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'plan'
    environmentServiceNameAzureRM: '$(serviceconnection)'
    commandOptions: '-var-file=vars/dev.tfvars'

# 执行Apply，自动确认部署
- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'apply'
    environmentServiceNameAzureRM: '$(serviceconnection)'
    commandOptions: '-var-file=vars/dev.tfvars -auto-approve'

Acc和Prod模板只需替换backendAzureRmContainerName为tfstate-acc/tfstate-prod，var-file对应各自的tfvars文件即可。

方案二：Terraform工作区（同一状态文件内隔离） #

利用Terraform工作区功能，在单个状态文件内为不同环境创建独立工作区，实现状态逻辑隔离。

1. 调整Terraform代码 #

• 新增环境变量：在vars.tf中定义环境变量，用于动态匹配订阅：

variable "environment" {
  type        = string
  description = "部署环境标识：dev/acc/prod"
}

locals {
  subscription_map = {
    dev  = "your-dev-subscription-id"
    acc  = "your-acc-subscription-id"
    prod = "your-prod-subscription-id"
  }
}

# 动态绑定订阅的Provider
provider "azurerm" {
  subscription_id = local.subscription_map[var.environment]
  features {}
}

• 资源代码无需拆分，通过环境变量自动适配不同订阅。

2. 调整Azure DevOps流水线模板 #

以dev/deployTodev.yml为例，添加工作区切换步骤：

steps:
- task: TerraformInstaller@0
  inputs:
    terraformVersion: '1.5.0'

# 初始化Terraform，共用同一状态存储容器
- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'init'
    backendServiceArm: '$(serviceconnection)'
    backendAzureRmResourceGroupName: 'tfstate-resource-group'
    backendAzureRmStorageAccountName: 'your-tfstate-storage-account'
    backendAzureRmContainerName: 'tfstate'
    backendAzureRmKey: 'appservice.tfstate'

# 创建/切换到Dev工作区（先尝试切换，不存在则创建）
- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'workspace'
    commandOptions: 'select dev || workspace new dev'

# 执行Plan，传递环境变量
- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'plan'
    environmentServiceNameAzureRM: '$(serviceconnection)'
    commandOptions: '-var environment=dev'

# 执行Apply部署
- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'apply'
    environmentServiceNameAzureRM: '$(serviceconnection)'
    commandOptions: '-var environment=dev -auto-approve'

Acc和Prod模板只需将environment变量改为acc/prod，工作区命令改为select acc || workspace new acc即可。

额外注意事项 #

• 服务连接权限：确保每个Azure DevOps服务连接（Azure-Deployment-dev等）对应的服务主体，拥有目标订阅的Contributor或更高权限，可创建/修改资源组、App Service等资源。
• 并行部署支持：两种方案均支持多环境并行部署，独立状态文件或工作区可有效避免状态冲突。
• 状态存储权限：存储状态文件的Azure存储账户，需为服务主体配置Storage Blob Data Contributor权限，确保能读写状态文件。

内容的提问来源于stack exchange，提问作者Learning_Learning