通过Azure Pipeline用Terraform获取Azure KeyVault密钥失败（本地正常）

1. 确认Pipeline使用的服务主体（SP）身份 #

• 从错误信息中提取appid=***对应的服务主体ID，在Azure AD中搜索该ID确认主体存在，或执行CLI命令：

  az ad sp show --id <你的appid>
  

• 检查Azure Pipeline的服务连接配置，确认部署时使用的是该服务主体，而非其他身份。

2. 检查KeyVault的权限配置（区分两种权限模型） #

若KeyVault使用「Vault访问策略」模型 #

• 进入KeyVault的「访问策略」页面，点击「添加访问策略」
• 在「机密权限」中勾选获取（Get），在「选择主体」中搜索并选中上述服务主体
• 保存配置后等待5-10分钟（Azure权限生效存在延迟）

若KeyVault使用「Azure RBAC」模型 #

• 进入KeyVault的「访问控制（IAM）」页面，点击「添加角色分配」
• 搜索并选择Key Vault Secrets User角色（该角色包含机密的Get权限）
• 将角色分配给目标服务主体，确保作用域为当前KeyVault（而非父资源组/订阅，除非有特殊需求）

3. 排查权限冲突与限制 #

• 检查KeyVault的「访问控制（IAM）」→「拒绝分配」，确认没有针对该服务主体的拒绝规则
• 检查资源组/订阅级别的RBAC权限，避免存在优先级更高的拒绝策略或权限覆盖

4. 验证Terraform配置正确性 #

• 确认azurerm_key_vault_secret资源中指定的KeyVault ID/名称无误
• 检查Terraform Provider配置，确保client_id等参数与Pipeline使用的服务主体一致，未指定其他身份

5. 直接测试服务主体权限 #

• 使用CLI模拟Pipeline身份登录并测试：

  # 登录服务主体
  az login --service-principal -u <appid> -p <client-secret> --tenant <租户ID>
  # 尝试获取密钥
  az keyvault secret show --name sqladminpassword --vault-name <你的KeyVault名称>
  

• 若此命令失败，说明权限未配置到位；若成功，则排查Terraform部署流程中的身份传递问题

内容的提问来源于stack exchange，提问作者Sanz View