已用Terraform创建B2C租户，如何从主租户创建其用户与应用？

可以通过Terraform直接从主租户在B2C租户中创建用户与应用，但需要配置双租户身份验证，分别针对主租户和B2C租户设置Terraform提供商，实现跨租户资源管理。

具体实现步骤 #

1. 配置双Terraform提供商 #

需要定义两个AzureRM提供商：一个指向主租户（用于管理B2C租户本身），另一个指向已创建的B2C租户（用于管理租户内的应用、用户）。

# 主租户提供商（已完成B2C租户创建的配置）
provider "azurerm" {
  features {}
  tenant_id = var.main_tenant_id
  # 认证方式可选择服务主体、Azure CLI等
}

# B2C租户专用提供商
provider "azurerm" {
  alias      = "b2c"
  features {}
  # 直接引用已创建的B2C租户域名作为租户ID
  tenant_id = azurerm_azuread_b2c_directory.b2c_tenant.domain
  # 使用主租户中拥有B2C租户权限的服务主体认证
  client_id     = var.b2c_sp_client_id
  client_secret = var.b2c_sp_client_secret
}

2. 在B2C租户内创建应用注册 #

使用azurerm_azuread_application资源，并指定B2C提供商：

resource "azurerm_azuread_application" "b2c_app" {
  provider     = azurerm.b2c
  display_name = "B2C业务应用"
  # 根据需求配置重定向URI、标识符、权限等
  web {
    redirect_uris = ["https://example.com/callback"]
  }
}

3. 在B2C租户内创建用户 #

使用azurerm_azuread_user资源，关联B2C提供商：

resource "azurerm_azuread_user" "b2c_user" {
  provider     = azurerm.b2c
  user_principal_name = "test_user@${azurerm_azuread_b2c_directory.b2c_tenant.domain}"
  display_name        = "测试用户"
  password            = "P@ssw0rd_123"
  password_never_expires = true
}

4. 为B2C资源分配角色 #

针对B2C租户内的角色，使用azurerm_role_assignment并指定B2C提供商：

resource "azurerm_role_assignment" "b2c_app_contributor" {
  provider         = azurerm.b2c
  scope            = azurerm_azuread_b2c_directory.b2c_tenant.id
  role_definition_name = "Contributor"
  principal_id     = azurerm_azuread_application.b2c_app.object_id
}

关键注意事项 #

• 主租户中用于认证B2C提供商的服务主体，必须在B2C租户中拥有足够权限（如全局管理员、应用管理员），可通过主租户Azure AD将该服务主体添加到B2C租户的对应角色中。
• Terraform会自动处理资源依赖，确保B2C租户创建完成后再执行内部资源的创建操作。

内容的提问来源于stack exchange，提问作者LOKESH V