Azure API请求权限调试：如何排查403禁止访问错误

1. 核对Request ID的搜索范围与格式 #

• 确认活动日志的时间范围完全覆盖请求发生的时间戳，建议扩大到请求前后15分钟，注意Azure活动日志默认使用UTC时间，需做好本地时间与UTC的转换
• 确保Request ID输入无多余空格或字符，直接复制粘贴获取到的完整ID

2. 切换到资源组或特定资源层级搜索活动日志 #

部分Terraform请求属于资源级操作，而非订阅级，可尝试：

• 进入目标资源所在的资源组，打开「活动日志」后搜索Request ID
• 若知晓具体操作的资源类型（如存储账户、虚拟机），直接进入该资源的「活动日志」页面搜索，缩小排查范围

3. 使用Azure Resource Graph查询精准定位 #

通过Azure Resource Graph Explorer执行Kusto查询，直接筛选目标Request ID：

AzureActivity
| where ActivityStatusValue == "Failed"
| where CorrelationId == "你的Request ID"
| project TimeGenerated, OperationName, ActivityStatus, ErrorMessage, Authorization, ResourceId

该查询可直接返回请求的权限信息、错误详情及关联资源，比控制台搜索更精准

4. 验证Terraform服务主体的权限明细 #

跳过日志直接检查权限：

• 进入Azure AD的「企业应用」，找到Terraform使用的服务主体
• 查看「权限」选项卡，确认是否包含操作所需的具体权限（如创建虚拟机需Microsoft.Compute/virtualMachines/write）
• 使用「权限检查器」工具，输入目标资源ID、操作名称，验证服务主体是否具备对应权限

5. 开启Terraform的TRACE级日志 #

尝试设置更高级别的日志捕获完整HTTP请求：

• Linux/macOS：执行export TF_LOG=TRACE && export TF_LOG_PATH=terraform.log
• Windows：执行set TF_LOG=TRACE && set TF_LOG_PATH=terraform.log
• 重新运行Terraform命令，日志文件中会包含完整的HTTP请求与响应细节，可从中提取Azure返回的权限缺失具体字段

内容的提问来源于stack exchange，提问作者Jordan