使用用户分配托管身份的Databricks访问连接器创建存储凭证失败求助

该场景Terraform完全支持，报错cannot create storage credential: Azure Managed Identity Credential with Access Connector Id nameofcred could not be found通常由依赖顺序、资源ID配置或权限同步问题导致，以下是具体解决步骤：

问题原因分析 #

• 访问连接器部署完成后，Azure需要时间同步身份配置到Databricks工作区，若立即创建存储凭据会导致识别失败
• Terraform代码中未显式声明访问连接器与存储凭据的依赖关系，导致资源创建顺序错误
• 访问连接器的资源ID填写不完整或错误

解决方案 #

1. 确保访问连接器配置与权限同步 #

确认ARM模板中访问连接器的用户分配托管身份已正确关联，且该身份拥有目标存储账户的必要权限（如Storage Blob Data Contributor）。部署完成后等待5-10分钟，让Azure完成身份配置同步。

2. 修正Terraform代码的依赖与资源ID #

如果访问连接器与存储凭据在同一Terraform部署中，必须添加显式依赖，确保访问连接器完全部署后再创建存储凭据：

# 示例：通过ARM模板部署访问连接器
resource "azurerm_resource_group_deployment" "access_connector" {
  name                = "access-connector-deployment"
  resource_group_name = "rg-example"
  template_content    = file("./access-connector.json")

  # 输出访问连接器的资源ID供后续使用
  outputs = {
    access_connector_id = jsonencode(
      reference(resourceId("Microsoft.Databricks/accessConnectors", parameters('accessConnectors_ac_connector_example_name'))).id
    )
  }
}

resource "databricks_storage_credential" "storage_credential" {
  name = "example_cred"
  azure_managed_identity {
    # 直接填写访问连接器的完整ARM资源ID，或通过部署输出引用
    access_connector_id = "/subscriptions/xxxxxxxxxxxxx/resourceGroups/rg-example/providers/Microsoft.Databricks/accessConnectors/example_name"
  }
  comment = "Managed identity credential managed by TF"

  # 显式声明依赖，确保访问连接器部署完成后再执行此资源创建
  depends_on = [azurerm_resource_group_deployment.access_connector]
}

若访问连接器为外部部署资源，需确保access_connector_id是完整的ARM资源ID，格式为：
/subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.Databricks/accessConnectors/<连接器名称>

3. 避免错误使用azure_service_principal块 #

用户分配托管身份无需客户端密钥，因此azure_service_principal块不适用于该场景，必须使用azure_managed_identity块并指定access_connector_id。

内容的提问来源于stack exchange，提问作者Saugat Mukherjee