基于工作负载身份联合服务连接，Azure DevOps执行Terraform任务报错求助

问题场景 #

在Azure DevOps管道中使用工作负载身份联合类型的服务连接，运行Terraform的plan和apply任务部署Azure资源时出现报错。已完成的前置操作：

• 创建服务主体（SPN）
• 为SPN在管理组范围分配Reader角色
• 配置SPN的联合凭据（指定颁发者和主题标识符）
• 基于该SPN手动创建工作负载身份联合服务连接

排查及修复步骤 #

1. 核对联合凭据的颁发者与主题标识符 #

• 确保Azure AD中SPN的联合凭据里，**颁发者（Issuer）**完全匹配Azure DevOps服务连接的配置值，格式为https://vstoken.dev.azure.com/<Azure DevOps组织ID>
• 主题标识符（Subject）需严格匹配管道层级：项目级管道用sc://<Azure DevOps组织名>/<项目名>，组织级管道用org://<Azure DevOps组织名>，注意大小写和无多余字符。

2. 调整SPN的权限适配Terraform操作 #

• 当前仅分配的Reader权限仅能读取资源，无法支持apply阶段的创建/修改操作，需根据部署资源类型，在对应订阅/资源组/管理组范围分配Contributor或更细粒度的写入权限。
• 确认权限作用域覆盖Terraform操作的资源范围，若资源在订阅下，需检查管理组权限是否已继承到该订阅（部分场景下管理组权限默认不自动继承到子订阅）。

3. 验证服务连接配置正确性 #

• 手动创建服务连接时，确认服务主体ID填写的是SPN的应用程序ID（而非对象ID）
• 检查服务连接的授权范围是否包含Terraform要操作的所有资源所在层级（管理组/订阅/资源组）
• 确认服务连接已启用，且当前Azure DevOps项目有权限使用该服务连接。

4. 检查Terraform任务的身份验证配置 #

• 在Azure DevOps的Terraform任务中，确认选择了目标工作负载身份联合服务连接，且未配置冲突的手动身份验证参数（如硬编码的ARM_CLIENT_ID等环境变量）
• 确保Terraform的Azure Provider配置使用了服务连接自动注入的OIDC相关环境变量：

  provider "azurerm" {
    features {}
    use_oidc = true
    oidc_token = var.ARM_OIDC_TOKEN
  }
  

  或直接依赖管道自动注入的ARM_USE_OIDC=true、ARM_OIDC_TOKEN=$(System.AccessToken)变量。

5. 检查Azure AD企业应用设置 #

• 确认SPN对应的企业应用未启用用户分配要求，若启用则需将Azure DevOps相关身份添加到该应用的用户/组列表中
• 确保SPN已配置User.Read基础权限（部分OIDC令牌获取流程依赖该权限）

内容的提问来源于stack exchange，提问作者ferdy