Azure DevOps中Terraform跨订阅使用服务主体初始化后端报错求助

1. 修复环境变量传递问题 #

你当前用两个独立的PowerShell任务设置环境变量和执行terraform init，但Azure DevOps中每个任务是独立进程，前一个任务设置的环境变量不会自动传递到下一个任务。提供两种解决方法：

方法A：合并任务到同一个PowerShell脚本 #

把环境变量配置和terraform init放在同一个任务里，确保变量在同一会话中生效：

steps:
  - task: PowerShell@2
    displayName: "tf init with auth"
    inputs:
      targetType: 'inline'
      script: |
        # 设置ARM认证环境变量
        $env:ARM_CLIENT_ID = "${{ parameters.clientId }}"
        $env:ARM_CLIENT_SECRET = "${{ parameters.clientSecret }}"
        $env:ARM_TENANT_ID = "${{ parameters.tenantId }}"
        $env:ARM_SUBSCRIPTION_ID = "${{ parameters.deploymentSubscriptionId }}"

        # 执行terraform init并传递后端配置
        terraform init `
        -backend-config="resource_group_name=${{ parameters.resourceGroupName }}" `
        -backend-config="storage_account_name=${{ parameters.storageAccountName }}" `
        -backend-config="container_name=${{ parameters.containerName }}" `
        -backend-config="key=${{ parameters.stateKey }}" `
        -backend-config="subscription_id=${{ parameters.stateSubscriptionId }}"

方法B：用Azure DevOps任务命令设置全局环境变量 #

如果要分开任务，用##vso[task.setvariable]命令把变量设置为全局可用：

steps:
  - task: PowerShell@2
    displayName: "set global envs"
    inputs:
      targetType: 'inline'
      script: |
        echo "##vso[task.setvariable variable=ARM_CLIENT_ID]${{ parameters.clientId }}"
        echo "##vso[task.setvariable variable=ARM_CLIENT_SECRET]${{ parameters.clientSecret }}"
        echo "##vso[task.setvariable variable=ARM_TENANT_ID]${{ parameters.tenantId }}"
        echo "##vso[task.setvariable variable=ARM_SUBSCRIPTION_ID]${{ parameters.deploymentSubscriptionId }}"

  - task: PowerShell@2
    displayName: "tf init"
    inputs:
      targetType: 'inline'
      script: |
        terraform init `
        -backend-config="resource_group_name=${{ parameters.resourceGroupName }}" `
        -backend-config="storage_account_name=${{ parameters.storageAccountName }}" `
        -backend-config="container_name=${{ parameters.containerName }}" `
        -backend-config="key=${{ parameters.stateKey }}" `
        -backend-config="subscription_id=${{ parameters.stateSubscriptionId }}"

2. 确保服务主体有权限访问两个订阅 #

你的服务主体需要同时拥有：

• 部署订阅：资源部署所需的权限（比如Contributor角色）
• 状态存储订阅：对目标存储账户的Storage Blob Data Contributor权限（用于读写Terraform状态文件）

只有服务主体在两个订阅中都具备对应权限，Terraform才能同时访问部署目标和状态存储。

3. 避免用Azure CLI认证服务主体 #

Terraform的azurerm后端不支持通过Azure CLI用服务主体认证，必须依赖ARM环境变量完成服务主体身份验证，因此务必确保ARM_*环境变量正确传递到terraform init的执行会话中。

额外优化：使用Azure DevOps官方Terraform任务 #

Azure DevOps提供官方TerraformTaskV4任务，可自动处理认证和环境变量配置，更简洁可靠：

steps:
  - task: TerraformTaskV4@4
    displayName: "Terraform Init"
    inputs:
      provider: 'azurerm'
      command: 'init'
      backendServiceArm: '你的Azure服务连接名称' # 对应你的服务主体
      backendAzureRmResourceGroupName: '${{ parameters.resourceGroupName }}'
      backendAzureRmStorageAccountName: '${{ parameters.storageAccountName }}'
      backendAzureRmContainerName: '${{ parameters.containerName }}'
      backendAzureRmKey: '${{ parameters.stateKey }}'
      backendAzureRmSubscriptionId: '${{ parameters.stateSubscriptionId }}'

内容的提问来源于stack exchange，提问作者michasaucer