使用Terraform为Azure Function配置指定Azure内置角色失败问题

问题场景 #

我试图通过Terraform给Azure Function的系统分配标识部署两个Azure内置角色：Microsoft Sentinel Reader和Storage Blob Data Contributor，但角色并未成功关联到Function的对象ID，导致Function无法获取Log Analytics工作区的Sentinel Reader权限，以及存储账户的Blob数据贡献者权限。

已排查操作 #

• 直接在scope参数中指定Log Analytics工作区和存储账户的资源ID
• Terraform plan和apply执行无报错
• 确认Azure Function系统分配标识的对象ID正确

Terraform代码（敏感信息已移除） #

# 存储账户角色分配：Storage Blob Data Contributor
resource "azurerm_role_assignment" "storage_account_access" {
  scope                = data.azurerm_storage_account.example_sa.id
  role_definition_name = "Storage Blob Data Contributor"
  principal_id         = data.azurerm_windows_function_app.example_function.identity[0].principal_id
}

# Log Analytics工作区角色分配：Microsoft Sentinel Reader
resource "azurerm_role_assignment" "log_analytics_reader" {
  scope                = data.azurerm_log_analytics_workspace.example_la.id
  role_definition_name = "Microsoft Sentinel Reader"
  principal_id         = data.azurerm_windows_function_app.example_function.identity[0].principal_id
}

# Azure Function数据块
data "azurerm_windows_function_app" "example_function" {
  name                = "example_function"
  resource_group_name = "example_rg"
}

# Log Analytics工作区数据块
data "azurerm_log_analytics_workspace" "example_la" {
  name                = "example_la"
  resource_group_name = "example_rg"
}

output "log_analytics_workspace_id" {
  value = data.azurerm_log_analytics_workspace.example_la.id
}

# 存储账户数据块
data "azurerm_storage_account" "example_sa" {
  name                = "example_sa"
  resource_group_name = "example_rg"
}

output "storage_account_id" {
  value = data.azurerm_storage_account.example_sa.id
}

解决建议 #

1. 改用角色ID替代角色名称 #

部分Azure内置角色可能存在名称歧义或本地化问题，建议直接使用角色UUID作为role_definition_id参数：

• Storage Blob Data Contributor角色ID：b7e6dc6d-f1e8-4753-8033-0f276bb0955b
• Microsoft Sentinel Reader角色ID：d40d49e1-501e-4f68-8a7a-b9138c62442b

修改后的角色分配示例：

resource "azurerm_role_assignment" "storage_account_access" {
  scope                = data.azurerm_storage_account.example_sa.id
  role_definition_id   = "b7e6dc6d-f1e8-4753-8033-0f276bb0955b"
  principal_id         = data.azurerm_windows_function_app.example_function.identity[0].principal_id
}

2. 验证Terraform执行账户的权限 #

确保运行Terraform的账户（或服务主体）拥有目标资源（存储账户/Log Analytics工作区）的Microsoft.Authorization/roleAssignments/write权限，否则角色分配会静默失败。

3. 添加显式依赖关系 #

显式声明依赖可避免资源创建时序问题：

resource "azurerm_role_assignment" "log_analytics_reader" {
  scope                = data.azurerm_log_analytics_workspace.example_la.id
  role_definition_name = "Microsoft Sentinel Reader"
  principal_id         = data.azurerm_windows_function_app.example_function.identity[0].principal_id

  depends_on = [data.azurerm_windows_function_app.example_function, data.azurerm_log_analytics_workspace.example_la]
}

4. 手动验证角色分配状态 #

使用Azure CLI检查角色分配是否实际创建：

# 检查存储账户的角色分配
az role assignment list --scope <存储账户资源ID> --assignee <Function对象ID>

# 检查Log Analytics工作区的角色分配
az role assignment list --scope <Log Analytics工作区资源ID> --assignee <Function对象ID>

如果CLI未查询到分配记录，说明Terraform的角色分配未成功执行；如果能查询到但Function仍无权限，等待10-15分钟让Azure权限缓存刷新后再测试。

内容的提问来源于stack exchange，提问作者Coco