Terraform部署Azure Event Hub遇Key Vault 403错误及Secret命名异常求助

一、Secret名称异常问题解决 #

实际生成的Secret名称出现重复后缀，核心原因是模块内的Secret名称拼接逻辑错误。

• 检查模块仓库event-hub/main.tf中Secret名称的定义代码：
  错误逻辑示例（会导致重复拼接）：

  resource "azurerm_key_vault_secret" "eventhub_seli" {
    name         = "${azurerm_eventhub_namespace.this.name}-${var.event_hub_namespace_name}-seli"
    value        = ...
    key_vault_id = ...
  }
  

• 修正为仅基于Event Hub命名空间名称拼接-seli：

  resource "azurerm_key_vault_secret" "eventhub_seli" {
    name         = "${azurerm_eventhub_namespace.this.name}-seli"
    value        = ...
    key_vault_id = ...
  }
  

  模块内的Event Hub命名空间已是evnhs-${var.event_hub_namespace_name}格式，直接用该资源的name字段拼接即可得到预期名称。

二、Key Vault Secret 403 Forbidden问题解决 #

优先解决名称问题后，再排查权限相关点：

1. 匹配修正后的Secret权限
   之前配置的访问策略可能针对预期名称的Secret，Terraform尝试读取错误名称的Secret会触发权限不足。修正名称后，确保服务主体的访问策略覆盖正确的Secret（或配置为允许访问所有Secret）。

2. 等待访问策略生效
   Azure Key Vault访问策略配置后存在1-5分钟的生效延迟，配置完成后等待几分钟再执行terraform plan。

3. 检查Key Vault防火墙设置
   如果Key Vault启用了防火墙：

   • 确认部署服务主体所在IP已加入允许列表；
   • 或开启"允许受信任的Azure服务访问此密钥保管库"选项，保障部署流程的访问权限。

4. 验证服务主体权限有效性
   用Azure CLI直接测试服务主体的Secret读取权限：

   # 登录服务主体
   az login --service-principal -u <服务主体Client ID> -p <服务主体Client Secret> --tenant <租户ID>
   # 读取修正后的目标Secret
   az keyvault secret show --name evnhs-d-test-01-tp-seli --vault-name <你的Key Vault名称>
   

   若命令失败，重新检查访问策略的权限范围（确保勾选"Get"权限）和服务主体信息；若命令成功，排查Terraform配置中是否引用了错误的Key Vault或服务主体凭据。

内容的提问来源于stack exchange，提问作者SVt