能否通过Terraform为Azure Databricks用户设置account_admin角色？实操遇错

问题原因 #

报错cannot read user role: User has no role是因为databricks_user_role资源在尝试读取刚创建用户的现有角色时，该用户还未被分配任何角色，导致资源读取状态失败。

解决方案 #

方案1：改用账户角色分配资源（推荐） #

较新版本的Databricks Terraform provider提供了databricks_account_role_assignment资源，更适配账户级角色分配场景，可避免读取空角色的问题：

resource "databricks_user" "user" {
  provider         = databricks.azure_account
  display_name     = "John Doe"
  user_name        = "john_doe@gmail.com"
  workspace_access = true
  depends_on       = [azurerm_databricks_workspace.this]
}

resource "databricks_account_role_assignment" "my_user_account_admin" {
  provider     = databricks.azure_account
  principal_id = databricks_user.user.id
  role         = "account_admin"
}

方案2：添加生命周期忽略配置 #

如果仍需使用databricks_user_role，可通过lifecycle块忽略初始读取空角色的状态：

resource "databricks_user_role" "my_user_account_admin" {
  provider         = databricks.azure_account
  user_id          = databricks_user.user.id
  role             = "account_admin"
  
  lifecycle {
    ignore_changes = [role]
  }
}

注：此方法仅适配首次角色分配，后续角色变更需手动调整配置。

方案3：将用户加入账户管理员组 #

账户级的account admins组默认拥有account_admin权限，直接将用户加入该组可替代角色分配：

data "databricks_group" "account_admins" {
  provider     = databricks.azure_account
  display_name = "account admins"
}

resource "databricks_group_member" "user_in_admins" {
  provider   = databricks.azure_account
  group_id   = data.databricks_group.account_admins.id
  member_id  = databricks_user.user.id
}

额外检查点 #

• 确保databricks.azure_account provider已正确配置账户级权限（而非工作区级），需使用拥有Databricks账户管理员权限的Azure AD应用或服务主体。
• 升级Databricks Terraform provider至最新版本，规避旧版本的兼容性问题。

内容的提问来源于stack exchange，提问作者user1827781