Azure DevOps服务连接+Terraform部署VM时认证构建错误排查

核心问题分析 #

你遇到的错误本质是Terraform无法获取有效的Azure认证凭据，根源有两个关键配置错误：

1. 误用了任务类型，导致无法从ADO服务连接提取服务主体（SPN）凭据
2. Terraform配置中错误地将环境变量名当作字符串字面量引用

修正步骤 #

1. 修复Terraform Provider配置（main.tf） #

Terraform读取环境变量需要使用env()函数，而非直接写变量名。修改后的provider配置如下：

provider "azurerm" {
  features {}

  # 正确读取环境变量，同时支持本地测试时通过变量传值
  client_id       = env("ARM_CLIENT_ID")
  client_secret   = env("ARM_CLIENT_SECRET")
  tenant_id       = env("ARM_TENANT_ID")
  subscription_id = env("ARM_SUBSCRIPTION_ID")
}

# 可选：定义本地测试用变量（非必须，但便于本地调试）
variable "ARM_CLIENT_ID" {
  type        = string
  description = "Azure Service Principal Client ID"
  default     = ""
}

variable "ARM_CLIENT_SECRET" {
  type        = string
  description = "Azure Service Principal Client Secret"
  default     = ""
}

variable "ARM_TENANT_ID" {
  type        = string
  description = "Azure Tenant ID"
  default     = ""
}

variable "ARM_SUBSCRIPTION_ID" {
  type        = string
  description = "Azure Subscription ID"
  default     = ""
}

注：AzureRM Provider本身会自动读取ARM_*前缀的环境变量，甚至可以省略provider中的显式配置，保留显式配置是为了更直观地看到认证逻辑。

2. 修正ADO管道YAML配置（terraform-pipelines.yml） #

你误用了UsePythonVersion@0任务（仅用于设置Python版本），必须使用AzureCLI@2任务才能关联ADO服务连接并提取SPN凭据。修正后的YAML：

trigger:
- main

pool:
  vmImage: 'ubuntu-latest'

variables:
  KeyVault: "test-kv"
  StorageAccount: "testtfstatedemostg"
  ContainerName: "tfstate"
  ResourceGroup: "test-rg"  
  AzureRegion: "uksouth"  
  vmCount: 1
  vmNames: "vm01"
  os_publisher: "Canonical"
  os_offer: "UbuntuServer"
  os_sku: "18.04-LTS"
  os_version: "latest"

jobs:
- job: TerraformDeployment
  displayName: 'Terraform Deployment'
  steps:
  # 使用AzureCLI任务提取服务连接的SPN凭据
  - task: AzureCLI@2
    inputs:
      azureSubscription: "<AzureDevops_Service_Connection_Name>" # 替换为你的服务连接名称，无需转义符
      scriptType: bash
      addSpnToEnvironment: true # 启用后自动注入tenantId/servicePrincipalId等环境变量
      scriptLocation: inlineScript
      inlineScript: |
        # 将SPN凭据设置为管道变量
        echo "##vso[task.setvariable variable=ARM_TENANT_ID;]$tenantId"
        echo "##vso[task.setvariable variable=ARM_CLIENT_ID;]$servicePrincipalId"
        echo "##vso[task.setvariable variable=ARM_CLIENT_SECRET;]$servicePrincipalKey"
        echo "##vso[task.setvariable variable=ARM_SUBSCRIPTION_ID;]$subscriptionId"

  # 安装Terraform
  - script: |
      curl -fsSL https://apt.releases.hashicorp.com/gpg | sudo gpg --dearmor -o /usr/share/keyrings/hashicorp-archive-keyring.gpg
      echo "deb [signed-by=/usr/share/keyrings/hashicorp-archive-keyring.gpg] https://apt.releases.hashicorp.com $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/hashicorp.list
      sudo apt-get update && sudo apt-get install terraform
    displayName: 'Install Terraform'

  # Terraform初始化，显式传递环境变量
  - script: |
      cd $(Build.SourcesDirectory)
      # 可选：验证环境变量是否正确注入
      printenv | grep ARM_
      terraform init
    displayName: 'Terraform Init'
    env:
      ARM_TENANT_ID: $(ARM_TENANT_ID)
      ARM_CLIENT_ID: $(ARM_CLIENT_ID)
      ARM_CLIENT_SECRET: $(ARM_CLIENT_SECRET)
      ARM_SUBSCRIPTION_ID: $(ARM_SUBSCRIPTION_ID)

关键修正点说明 #

• 任务类型替换：UsePythonVersion@0不支持服务连接关联，必须用AzureCLI@2或AzurePowerShell@5才能提取SPN凭据
• 环境变量传递：在Terraform步骤中通过env块显式传递管道变量，避免作用域问题导致变量无法读取
• 服务连接名称修正：移除名称中的转义符\，直接填写你的ADO服务连接名称即可

额外验证建议 #

1. 确认ADO服务连接为服务主体认证类型，且该服务主体拥有目标订阅的Contributor或更高权限
2. 在AzureCLI任务的inlineScript中添加echo $tenantId等命令，验证凭据是否正确获取
3. Terraform初始化前执行printenv | grep ARM_，确认环境变量已正确注入

内容的提问来源于stack exchange，提问作者jma