服务连接转工作负载标识后Terraform运行授权错误求助

针对你切换工作负载标识后Terraform授权失败的问题，排查方向如下：

1. 确认TerraformTaskV4@4任务配置 #

• 确保任务选择的服务连接是工作负载标识类型，而非传统服务主体。如果用YAML定义任务，需显式指定authenticationType: workloadIdentity：

  - task: TerraformTaskV4@4
    inputs:
      provider: 'azurerm'
      command: 'plan'
      workingDirectory: '$(System.DefaultWorkingDirectory)'
      authenticationType: 'workloadIdentity'
      azureSubscription: '<你的工作负载标识服务连接>'
  

• 检查任务高级选项中，是否开启了自动注入Azure身份验证变量（默认是开启的，不要手动禁用）。

2. 修正azurerm Provider配置 #

• 除了use_oidc = true，必须指定工作负载标识对应的应用程序ID（即服务主体的Client ID），完整配置示例：

  provider "azurerm" {
    features {}
    use_oidc = true
    client_id = "<你的工作负载标识应用ID>"
    tenant_id = "<Azure租户ID>" # 可选，若任务已注入可省略
  }
  

• Terraform Backend（如Azure Blob）无需添加use_oidc，只需确保工作负载标识拥有存储账户的Storage Blob Data Contributor角色，backend配置保持常规格式即可：

  terraform {
    backend "azurerm" {
      resource_group_name  = "<存储账户资源组>"
      storage_account_name = "<存储账户名>"
      container_name       = "<容器名>"
      key                  = "terraform.tfstate"
    }
  }
  

3. 验证工作负载标识权限与信任关系 #

• 在Azure Portal中，检查工作负载标识的服务主体（应用注册对应的企业应用）是否被授予目标资源/订阅的必要权限（如Contributor、Resource Group Contributor等），并确认角色分配已生效。
• 确认Azure AD应用注册的信任设置：在应用注册的"企业应用"信任配置中，验证受众（Audience）为api://AzureADTokenExchange，且Azure DevOps的服务连接已正确建立信任。

4. 检查版本兼容性 #

• 确保使用的azurerm provider版本在v3.0.0及以上，旧版本对工作负载标识的OIDC支持不完善，可在versions.tf中指定：

  terraform {
    required_providers {
      azurerm = {
        source  = "hashicorp/azurerm"
        version = ">= 3.0.0"
      }
    }
  }
  

5. 排查任务执行上下文 #

• 如果使用私有代理运行任务，确保代理能正常访问Azure AD的OIDC端点，无防火墙或代理规则拦截。
• 查看任务运行日志，检查ARM_OIDC_TOKEN、ARM_CLIENT_ID、ARM_TENANT_ID等环境变量是否正确注入，没有被其他自定义变量覆盖。

内容的提问来源于stack exchange，提问作者Tacti