Terraform部署Azure资源时凭据未刷新致密钥写入失败求助

问题描述 #

我在使用Terraform执行以下部署流程时遇到权限问题：

• 创建启用RBAC权限的Azure Key Vault（enable_rbac_authorization = true）
• 为运行脚本的Service Principal授予该Key Vault的“Key Vault Administrator”或其他可写入密钥的RBAC角色
• 创建包含生成随机密码的资源（如虚拟机管理员账户密码）
• 将该随机密码写入步骤1创建的Key Vault作为密钥

相关代码如下：

data "azurerm_client_config" "current" {}

resource "azurerm_key_vault" "kv" {
  name                            = var.name
  location                        = var.location
  resource_group_name             = var.resource_group_name
  sku_name                        = var.sku_name
  enabled_for_disk_encryption     = true
  enabled_for_template_deployment = true
  tenant_id                       = data.azurerm_client_config.current.tenant_id
  soft_delete_retention_days      = var.soft_delete_retention_days
  purge_protection_enabled        = true
  enable_rbac_authorization       = var.enable_rbac_authorization
  public_network_access_enabled   = var.public_network_access_enabled

  tags = merge({ StartDate = formatdate("DD-MM-YYYY", time_static.time.rfc3339) }, var.env_tags)

  lifecycle {
    ignore_changes = [tags]
  }
}

resource "azurerm_role_assignment" "kv_admin" {
  count                = var.vars_dataintelligence.dwh-keyvault.enable_rbac_authorization ? 1 : 0
  scope                = module.kv-dataintelligence.id
  role_definition_name = "Key Vault Administrator"
  principal_id         = data.azurerm_client_config.current.object_id
}

... # 创建VM的代码省略

resource "azurerm_key_vault_secret" "admin_password_secret" {
  name         = format("%s-%s", azurerm_windows_virtual_machine.name, "admin-pswd")
  key_vault_id = azurerm_key_vault.id
  value        = azurerm_windows_virtual_machine.admin_password
  depends_on   = [azurerm_role_assignment.kv_admin]
}

首次执行时会报错，提示Service Principal无访问权限，需刷新凭据；重新执行则可成功写入，但首次必报错。我目前想到的临时方案：

• 提前在资源组/订阅级别为Service Principal授予权限
• 在GitHub Actions中添加失败重试逻辑

请问还有其他更优的解决方案吗？

优化解决方案 #

1. 强制刷新Azure凭据缓存 #

Terraform的Azure Provider在创建角色分配后，不会自动刷新SP的凭据缓存。可以通过null_resource触发本地执行脚本，调用Azure CLI强制刷新凭据：

resource "null_resource" "refresh_azure_creds" {
  depends_on = [azurerm_role_assignment.kv_admin]

  provisioner "local-exec" {
    command = "az account clear && az login --service-principal -u ${var.sp_client_id} -p ${var.sp_client_secret} --tenant ${data.azurerm_client_config.current.tenant_id}"
  }
}

resource "azurerm_key_vault_secret" "admin_password_secret" {
  name         = format("%s-%s", azurerm_windows_virtual_machine.name, "admin-pswd")
  key_vault_id = azurerm_key_vault.id
  value        = azurerm_windows_virtual_machine.admin_password
  depends_on   = [null_resource.refresh_azure_creds]
}

注意：需确保执行环境已安装Azure CLI，且SP的sp_client_id、sp_client_secret已作为变量传入。

2. 拆分部署阶段 #

将部署流程拆分为两个独立阶段，确保角色权限完全生效后再执行密钥写入操作：

• 阶段1：仅部署Key Vault和RBAC角色分配

terraform apply -target=azurerm_key_vault.kv -target=azurerm_role_assignment.kv_admin

• 阶段2：部署VM及密钥写入资源

terraform apply

这种方式避免了同一部署阶段内角色分配与权限使用的时序冲突。

3. 使用托管身份（MSI）替代Service Principal #

使用MSI执行Terraform部署，MSI的权限变更会实时生效，无需等待凭据缓存刷新：

provider "azurerm" {
  features {}
  use_msi = true
  msi_endpoint = var.msi_endpoint # 适用于VM/容器实例托管身份场景
}

如果部署环境支持MSI（如Azure DevOps Agent、Azure VM），这是最可靠的解决方案，同时符合安全最佳实践。

4. 预创建最小权限自定义RBAC角色 #

若必须提前授权，创建仅包含Key Vault密钥写入权限的自定义角色，而非授予全权限的“Key Vault Administrator”，然后提前将该角色分配到资源组级别：

自定义角色JSON示例：

{
  "Name": "Key Vault Secret Writer",
  "Description": "Allows writing secrets to Azure Key Vault",
  "Actions": [
    "Microsoft.KeyVault/vaults/secrets/set/action",
    "Microsoft.KeyVault/vaults/secrets/read/action"
  ],
  "NotActions": [],
  "AssignableScopes": ["/subscriptions/<你的订阅ID>"]
}

通过Azure CLI创建角色后，提前为SP分配该角色，既满足最小权限原则，又避免首次部署的权限问题。

内容的提问来源于stack exchange，提问作者glaeran