使用SAS令牌认证Terraform Azurerm失败：Plan执行报错排查

核心原因 #

你混淆了Terraform后端身份验证和Azurerm提供商身份验证：

• 后端配置的SAS令牌仅用于读写存储账户中的Terraform状态文件，这就是terraform init能成功的原因（它只需要状态文件的访问权限）。
• 而terraform plan需要调用Azure资源管理器（ARM）API来查询、规划Azure资源，这部分的身份验证由azurerm提供商单独管理，和后端状态存储的权限完全无关。你设置了use_cli = false禁用了Azure CLI凭据，但又没给提供商配置其他验证方式，导致Terraform无法生成ARM API的授权器，从而报错。

解决方法 #

方法1：启用Azure CLI身份验证 #

修改azurerm提供商配置，移除use_cli = false（默认会使用Azure CLI的登录凭据）：

provider "azurerm" {
  features {}
  # 移除use_cli = false配置
}

执行az login登录你的Azure账户，确保该账户拥有目标订阅的资源操作权限（比如Contributor角色）。

方法2：使用服务主体凭据 #

可以直接在提供商块中配置服务主体信息，或者通过环境变量传递（更安全）：

方式A：直接写入配置（不推荐生产环境）

provider "azurerm" {
  features {}
  use_cli = false

  client_id       = "你的服务主体ID"
  client_secret   = "你的服务主体密钥"
  tenant_id       = "你的Azure租户ID"
  subscription_id = "你的Azure订阅ID"
}

方式B：通过环境变量传递（推荐）

在终端中设置环境变量：

export ARM_CLIENT_ID="你的服务主体ID"
export ARM_CLIENT_SECRET="你的服务主体密钥"
export ARM_TENANT_ID="你的Azure租户ID"
export ARM_SUBSCRIPTION_ID="你的Azure订阅ID"

此时提供商块只需保留基础配置即可：

provider "azurerm" {
  features {}
  use_cli = false
}

方法3：使用托管身份（Azure环境内运行时） #

如果Terraform在Azure资源（如VM、ACI、函数应用）内运行，可以使用托管身份：

provider "azurerm" {
  features {}
  use_cli = false

  use_msi = true
  # 如果是用户分配的托管身份，需添加以下配置
  # msi_client_id = "用户分配的托管身份ID"
}

注意事项 #

用于azurerm提供商验证的身份（CLI账户、服务主体、托管身份），必须拥有目标Azure订阅的资源操作权限（如Contributor、Reader等），权限不足也会导致类似的授权报错。

内容的提问来源于stack exchange，提问作者Essej