如何用Terraform检索用户已分配应用角色并避免重复分配

要实现仅当用户未分配指定应用角色时才执行分配（避免重复分配导致计划失败），由于Terraform原生azuread provider不支持直接查询用户已分配的应用角色，需要借助外部脚本调用Graph API完成检查，再结合Terraform的条件逻辑实现目标。以下是具体实现方案：

方案一：使用external数据源（推荐，计划阶段即可预判） #

1. 编写Graph API检查脚本 #

创建Python脚本check_app_role_assignment.py，接收用户ID、应用ID、角色ID参数，调用Graph API查询用户的应用角色分配情况，返回JSON格式的检查结果：

import sys
import json
import requests
from azure.identity import DefaultAzureCredential

def check_assignment(user_id, app_id, role_id):
    credential = DefaultAzureCredential()
    token = credential.get_token("https://graph.microsoft.com/.default")
    headers = {"Authorization": f"Bearer {token.token}"}
    
    url = f"https://graph.microsoft.com/v1.0/users/{user_id}/appRoleAssignments"
    response = requests.get(url, headers=headers)
    response.raise_for_status()
    
    assignments = response.json().get("value", [])
    for assignment in assignments:
        if assignment["resourceId"] == app_id and assignment["appRoleId"] == role_id:
            return {"assigned": True}
    return {"assigned": False}

if __name__ == "__main__":
    params = json.loads(sys.stdin.read())
    result = check_assignment(params["user_id"], params["app_id"], params["role_id"])
    print(json.dumps(result))

2. 配置Terraform external数据源 #

通过external数据源调用上述脚本，传入待检查的用户、应用和角色ID：

data "external" "check_app_role_assignment" {
  program = ["python", "${path.module}/check_app_role_assignment.py"]

  query = {
    user_id  = azuread_user.example.object_id
    app_id   = azuread_application.example.object_id
    role_id  = azuread_application.example.app_role_ids["YourTargetRole"]
  }
}

# 将返回结果转为布尔值，方便后续条件判断
locals {
  is_role_assigned = tobool(data.external.check_app_role_assignment.result["assigned"])
}

3. 条件创建应用角色分配 #

使用count参数控制资源创建：仅当角色未分配时，才创建azuread_app_role_assignment资源：

resource "azuread_app_role_assignment" "user_role" {
  count             = local.is_role_assigned ? 0 : 1
  user_id           = azuread_user.example.object_id
  app_role_id       = azuread_application.example.app_role_ids["YourTargetRole"]
  resource_object_id = azuread_application.example.object_id
}

方案二：使用null_resource（apply阶段检查） #

如果需要在apply阶段执行检查（适合特殊场景），可以用null_resource配合local-exec provisioner，但这种方式无法在计划阶段预判操作，灵活性稍差：

resource "null_resource" "check_and_assign_role" {
  provisioner "local-exec" {
    command = <<EOT
      python ${path.module}/check_app_role_assignment.py '{"user_id": "${azuread_user.example.object_id}", "app_id": "${azuread_application.example.object_id}", "role_id": "${azuread_application.example.app_role_ids["YourTargetRole"]}"}' > check_result.json
      if [ $(jq -r '.assigned' check_result.json) == "false" ]; then
        terraform apply -target=azuread_app_role_assignment.user_role -auto-approve
      fi
    EOT
    interpreter = ["bash", "-c"]
  }

  # 当用户、应用或角色ID变化时触发检查
  triggers = {
    user_id  = azuread_user.example.object_id
    app_id   = azuread_application.example.object_id
    role_id  = azuread_application.example.app_role_ids["YourTargetRole"]
  }
}

# 定义应用角色分配资源（仅在需要时创建）
resource "azuread_app_role_assignment" "user_role" {
  count             = 0 # 默认不创建，由null_resource触发
  user_id           = azuread_user.example.object_id
  app_role_id       = azuread_application.example.app_role_ids["YourTargetRole"]
  resource_object_id = azuread_application.example.object_id
}

关键注意事项 #

• 运行Terraform的身份需要具备Graph API的User.Read.All和AppRoleAssignment.ReadWrite.All权限
• 脚本依赖Python包，需提前安装：pip install requests azure-identity
• DefaultAzureCredential支持从环境变量、Azure CLI、托管标识等多种方式获取凭据，适配本地开发和生产环境

内容的提问来源于stack exchange，提问作者phanxen