Terraform配置Azure AD访问包分配策略review模块空值错误求助

问题概述 #

配置Azure AD Access Package分配策略时，移除assignment_review_settings代码块可正常应用配置；但添加该块并配置enabled=true、duration_in_days、review_frequency、access_review_timeout_behavior参数后，仍触发400错误，提示ArgumentNullException（值不能为空）。

核心原因 #

Azure AD的访问评审配置必须指定评审者——尽管Terraform文档未将其标记为必填项，但Azure AD Graph API实际要求该参数。缺少评审者配置会直接导致API返回空值错误。

解决方案 #

在assignment_review_settings块中补充评审者配置，示例如下：

assignment_review_settings {
  enabled                                 = true
  duration_in_days                        = 14  
  review_frequency                        = "halfyearly"
  access_review_timeout_behavior          = "removeAccess"
  
  # 新增必填的评审者配置
  primary_reviewer {
    object_id                           = azuread_group.group.id # 替换为实际评审者组/用户ID
    subject_type                        = "groupMembers" # 可选值：user、groupMembers、manager
  }
}

额外排查点 #

• 参数合法性校验：
  • review_frequency有效值为：daily、weekly、monthly、quarterly、halfyearly、yearly，确认取值无误；
  • duration_in_days需设置为1-365之间的整数。
• Provider版本更新：
  确保azuread Provider使用最新稳定版，旧版本可能存在参数映射不完整问题，可在main.tf中指定版本：

  terraform {
    required_providers {
      azurerm = {
        source  = "hashicorp/azurerm"
        version = ">= 3.0.0"
      }
      azuread = {
        source  = "hashicorp/azuread"
        version = ">= 2.0.0"
      }
      azuredevops = {
        source  = "microsoft/azuredevops"
      }
    }
  }
  

• 评审者权限验证：
  确认指定的评审者（用户/组）拥有访问评审的权限，避免因权限不足导致隐性错误。

内容的提问来源于stack exchange，提问作者Devin York DJ