Terraform Azure DevOps执行plan报错：存储账户Schema版本不匹配

核心原因：资源Schema版本与Provider版本不兼容 #

你的报错本质是状态文件中存储的azurerm_storage_account资源Schema版本（v3），和流水线实际运行的AzureRM Provider版本（v4）不匹配。之所以报错出在资源层面而非顶层Provider，是因为AzureRM Provider的大版本更新（比如v3→v4）会单独升级部分资源的Schema，并非所有资源同步变更，因此会出现单个资源的版本冲突提示。

关于Provider版本锁定与lock.hcl失效的问题 #

1. 必须显式限制Provider版本：即便lock.hcl已纳入源码控制，流水线环境仍可能未正确启用依赖锁定。Terraform默认会遵循lock.hcl，但如果流水线的terraform init命令加了-upgrade参数，或是lock.hcl路径错误、未被正确检出到流水线工作目录，就会自动拉取最新Provider版本——这就是本地正常但流水线报错的核心原因：你本地用的是lock.hcl锁定的旧版本，流水线却偷偷升级到了v4。
2. 修复步骤：
   • 在terraform.tf中显式指定AzureRM Provider的版本范围，避免自动跨大版本升级：

     provider "azurerm" {
       features {}
       version = "~> 3.0" # 锁定v3大版本，阻止自动升级到v4
     }
     

   • 确保流水线的terraform init命令未加-upgrade参数，若必须使用升级，需强制启用锁定：

     terraform init -lock=true
     

   • 检查流水线工作目录，确认lock.hcl与主TF文件在同一目录，且已被正确检出。

关于target参数的影响 #

官方不推荐使用target参数的核心原因是它会破坏Terraform依赖图的完整性，但本次报错和target参数无直接关联。不过在版本不兼容的场景下使用target，可能会掩盖其他潜在问题，建议先解决Provider版本问题后，再评估是否继续使用target。

额外排查建议 #

• 本地执行terraform providers，确认本地使用的AzureRM Provider版本，再和流水线执行同一命令的结果对比，即可明确版本差异。
• 若流水线已意外使用v4 Provider，不要直接回滚版本，需先执行terraform state replace-provider更新状态文件中的Provider版本，或是修改TF代码适配v4的资源Schema（需对应调整v4的语法规则）。

内容的提问来源于stack exchange，提问作者Kevin Purnama