如何强制AAD提前注册Azure Batch企业应用？Terraform SPN查找失败求助

在全新Azure租户中，若尚未创建Batch账户，Terraform无法找到Azure Batch关联的服务主体（SPN）。但使用UserSubscription模式部署Batch时，需要在创建Batch账户前为该SPN授予订阅级的AzBatch Contributor角色，因此必须提前获取到该SPN的对象ID。请问是否存在强制让AAD预先注册Azure Batch企业应用的方法？

以下是在全新租户中执行失败、但在已部署过AzBatch的租户中可正常运行的Terraform代码片段：

data "azurerm_client_config" "current" {}
data "azuread_client_config" "current" {}
data "azuread_application_published_app_ids" "well_known" {}

# 这一行会执行失败
data "azuread_service_principal" "batch_spn" {
  client_id = data.azuread_application_published_app_ids.well_known.result.AzureBatch
}

# 但这部分依赖上面的SPN对象ID才能正常工作
resource "azurerm_role_assignment" "batch_subscription_role" {
  # Azure Batch在UserSubscription模式下创建时需要此角色
  scope                            = "/subscriptions/${data.azurerm_client_config.current.subscription_id}"
  role_definition_name             = "Contributor"
  principal_id                     = data.azuread_service_principal.batch_spn.object_id
  skip_service_principal_aad_check = true
}

注：无法硬编码SPN的对象ID，因为它在每个租户中都是唯一的（与固定的AzureBatch应用ID不同）。

可以通过Terraform的azuread_service_principal资源强制注册Azure Batch的内置企业应用到租户中，替代原有的data查询方式。内置应用的Client ID是固定值（可通过azuread_application_published_app_ids获取），基于此ID创建服务主体即可完成AAD注册。

修改后的代码如下：

data "azurerm_client_config" "current" {}
data "azuread_application_published_app_ids" "well_known" {}

# 强制注册Azure Batch服务主体到当前租户，已存在则复用
resource "azuread_service_principal" "batch_spn" {
  client_id     = data.azuread_application_published_app_ids.well_known.result.AzureBatch
  use_existing  = true
}

# 为注册完成的SPN分配订阅级角色
resource "azurerm_role_assignment" "batch_subscription_role" {
  scope                            = "/subscriptions/${data.azurerm_client_config.current.subscription_id}"
  role_definition_name             = "Contributor"
  principal_id                     = azuread_service_principal.batch_spn.object_id
  skip_service_principal_aad_check = true
}

关键说明 #

• use_existing = true 参数确保租户中已存在Azure Batch服务主体时，Terraform直接复用现有资源，避免重复创建报错。
• 该操作会触发AAD对Azure Batch内置应用的租户级注册，完成后即可获取到SPN的对象ID，顺利完成角色分配。

若需手动提前注册，可使用Azure CLI命令：

az ad sp create --id "AzureBatch的固定Client ID"

但通过Terraform资源定义可实现全流程自动化，无需手动干预。

内容的提问来源于stack exchange，提问作者SOReader