使用Terraform/OpenTofu创建azurerm_storage_data_lake_gen2_path报错

问题重现 #

使用Terraform/OpenTofu创建带自定义ACL的ADLS Gen2目录，配置如下：

resource "azurerm_storage_data_lake_gen2_path" "example" {
  path             = "example"
  filesystem_name  = "example"
  storage_account_id = var.storage_account_id
  resource         = "directory"

  ace {
    scope       = "access"
    type        = "user"
    id          = azuread_application.example.object_id
    permissions = "rwx"
  }

  ace {
    scope       = "default"
    type        = "user"
    id          = azuread_application.example.object_id
    permissions = "rwx"
  }
}

存储账户为外部创建，通过变量传入storage_account_id，执行apply时返回409错误：

Error: checking for existence of existing Path "example" in File System "example" in Storage Account (Subscription: "abc123"
Resource Group Name: "example"
Storage Account Name: "example"): datalakestore.Client#GetProperties: Failure sending request: StatusCode=409 -- Original Error: autorest/azure: Service returned an error. Status=<nil> <nil>

已尝试启用存储账户公网访问，问题仍存在。

可能的解决方法 #

1. 确认目标文件系统（Filesystem）已存在 #

azurerm_storage_data_lake_gen2_path依赖的文件系统（即存储容器）必须提前存在，否则会触发409冲突错误。如果文件系统是外部创建的，先通过data源验证其存在性：

data "azurerm_storage_data_lake_gen2_filesystem" "example" {
  name               = "example"
  storage_account_id = var.storage_account_id
}

resource "azurerm_storage_data_lake_gen2_path" "example" {
  path             = "example"
  filesystem_name  = data.azurerm_storage_data_lake_gen2_filesystem.example.name
  storage_account_id = var.storage_account_id
  resource         = "directory"
  // 其余ACL配置不变
}

2. 检查服务主体的数据平面权限 #

Terraform使用的服务主体需要拥有ADLS Gen2的数据平面权限，仅控制平面权限不足以操作路径。建议分配Storage Blob Data Contributor角色到存储账户或目标文件系统级别，确保服务主体能读取/写入路径属性。

3. 验证存储账户已启用分层命名空间 #

ADLS Gen2路径要求存储账户必须开启分层命名空间（Hierarchical Namespace），否则无法使用azurerm_storage_data_lake_gen2_path资源。登录Azure门户，检查存储账户的"数据湖存储Gen2"设置，确认该选项已启用（注：启用后无法关闭）。

4. 处理路径状态冲突 #

如果目标路径已存在但未被Terraform状态跟踪，会导致存在性检查冲突：

• 手动删除Azure门户中的目标目录后重新执行apply
• 使用terraform import将现有路径导入Terraform状态：

  terraform import module.example.azurerm_storage_data_lake_gen2_path.example "/subscriptions/abc123/resourceGroups/example/providers/Microsoft.Storage/storageAccounts/example/fileSystems/example/paths/example"
  

  导入后再执行apply即可同步状态。

内容的提问来源于stack exchange，提问作者daviewales