Azure DevOps Pipeline部署Terraform至Azure时触发认证错误

问题根源 #

你遇到的是Terraform Provider认证配置与Azure DevOps Pipeline服务连接的凭据注入冲突：

• Plan阶段添加Provider认证参数时，手动配置的令牌与Pipeline自动注入的环境变量令牌冲突，导致解析错误；
• 注释参数后Plan成功是因为Pipeline自动用服务连接的凭据完成了认证，但Apply阶段Init报错是因为Init任务未正确关联服务连接，或状态文件存储容器的权限配置存在问题。

具体修复步骤 #

1. 清理Terraform Provider中的硬编码认证参数 #

确保azurermProvider块不包含任何手动认证参数（如client_id、client_secret、tenant_id、subscription_id），让它自动读取Azure DevOps注入的环境变量：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">= 3.0.0"
    }
  }

  backend "azurerm" {
    resource_group_name  = "你的状态文件资源组名"
    storage_account_name = "你的存储账户名"
    container_name       = "你的存储容器名"
    key                  = "terraform.tfstate"
  }
}

provider "azurerm" {
  features {}
  # 此处不要添加任何认证相关参数
}

2. 配置Azure DevOps Pipeline的Terraform任务 #

确保Pipeline中的每个Terraform任务（Init、Plan、Apply）都关联正确的Azure Resource Manager服务连接：

• TerraformInit任务需指定backendServiceArm为你的服务连接，同时backendAzureRm配置要与Terraform Backend块一致：

- task: TerraformInit@0
  inputs:
    backendServiceArm: '你的Azure服务连接名'
    backendAzureRm:
      resourceGroupName: '状态文件资源组名'
      storageAccountName: '存储账户名'
      containerName: '存储容器名'
      key: 'terraform.tfstate'

• Plan和Apply任务同样指定azureSubscription为你的服务连接：

- task: TerraformPlan@0
  inputs:
    command: 'plan'
    azureSubscription: '你的Azure服务连接名'
    environmentServiceName: '你的Azure服务连接名'
    workingDirectory: '$(System.DefaultWorkingDirectory)/terraform'
    commandOptions: '-out=tfplan'

- task: TerraformApply@0
  inputs:
    command: 'apply'
    azureSubscription: '你的Azure服务连接名'
    environmentServiceName: '你的Azure服务连接名'
    workingDirectory: '$(System.DefaultWorkingDirectory)/terraform'
    commandOptions: 'tfplan'

3. 验证服务连接权限 #

确保Azure DevOps服务连接对应的服务主体（SP）拥有以下权限：

• 目标资源组的参与者权限（用于部署VM、关联现有资源）；
• 状态文件存储账户的存储账户参与者权限（用于读写tfstate文件）。

4. 排查环境变量冲突 #

若问题仍存在，检查Pipeline中是否手动设置了ARM_*开头的环境变量（如ARM_CLIENT_ID），这类变量会与服务连接注入的变量冲突，需删除手动设置项。

额外注意点 #

• 确保Terraform版本与AzureRM Provider版本兼容（例如AzureRM 3.x需要Terraform 1.0+）；
• 测试时可在Pipeline中添加AzureCLI@2任务，先执行az account show验证服务连接是否正常登录：

- task: AzureCLI@2
  inputs:
    azureSubscription: '你的Azure服务连接名'
    scriptType: 'bash'
    scriptLocation: 'inlineScript'
    inlineScript: 'az account show'

内容的提问来源于stack exchange，提问作者Pallab