如何通过Terraform为AzureAD应用注册分配资源组Contributor角色

要给你创建的Azure AD应用注册分配Contributor角色，需要完成两个核心步骤：创建关联的服务主体，再通过角色分配绑定权限。以下是完整的Terraform代码实现：

1. 创建应用注册及对应服务主体 #

# 你已有的应用注册资源
resource "azuread_application_registration" "app_registration" {
  display_name = "rcsc-dataplatform"
}

# 为应用注册创建关联的服务主体
resource "azuread_service_principal" "app_sp" {
  application_id = azuread_application_registration.app_registration.application_id
}

说明：Azure AD应用注册必须对应服务主体才能获得Azure资源的身份权限，azuread_service_principal资源会自动关联你创建的应用注册实例。

2. 分配Contributor角色 #

使用azurerm_role_assignment资源为服务主体分配权限（示例为订阅级别，如需资源组级别可修改scope参数）：

# 确保已配置azurerm provider
provider "azurerm" {
  features {}
}

# 为服务主体分配订阅级Contributor角色
resource "azurerm_role_assignment" "app_contributor" {
  scope                = "/subscriptions/你的订阅ID" # 替换为实际订阅ID，或引用subscription资源
  role_definition_name = "Contributor"
  principal_id         = azuread_service_principal.app_sp.id
}

关键参数说明： #

• scope：权限生效范围，支持订阅、资源组或单个资源的ID，按需调整。
• role_definition_name：指定要分配的角色名称，此处为"Contributor"。
• principal_id：关联服务主体的ID，通过azuread_service_principal.app_sp.id直接引用。

验证方式 #

部署代码后，可通过Azure门户确认：

• 进入Azure AD「企业应用」，找到名为rcsc-dataplatform的服务主体。
• 进入目标订阅/资源组的「访问控制(IAM)」页面，检查该服务主体是否已被分配Contributor角色。

内容的提问来源于stack exchange，提问作者david backx