Terraform中多Azure AD应用复用API权限配置的方案咨询

要批量创建拥有相同API权限的Azure AD应用，核心是通过locals或变量复用required_resource_access的配置，再结合dynamic块处理嵌套的权限结构，以下是具体实现方案：

方法一：使用Locals定义本地复用的权限配置 #

适合权限配置固定、无需外部传入的场景，将通用权限定义在局部值中，再在资源块中引用：

# 定义复用的Microsoft Graph API权限配置
locals {
  graph_api_permissions = {
    resource_app_id = "00000003-0000-0000-c000-000000000000" # 官方Microsoft Graph App ID
    resource_access = [
      {
        id   = "df021288-bdef-4463-88db-98f22de89214" # User.Read.All (应用权限)
        type = "Role"
      },
      {
        id   = "18a4783c-866b-4cc7-a460-3d5e5662c884" # Directory.Read.All (应用权限)
        type = "Role"
      },
      {
        id   = "9a5d68c3-3e9b-4f12-91e7-4d74a2402fb0" # Application.Read.All (应用权限)
        type = "Role"
      }
    ]
  }

  # 定义需要创建的AD应用列表
  ad_applications = {
    app_dev  = "Dev-Environment-App"
    app_test = "Test-Environment-App"
    app_prod = "Prod-Environment-App"
  }
}

# 批量创建Azure AD应用，自动复用权限配置
resource "azuread_application" "multi_apps" {
  for_each = local.ad_applications
  display_name = each.value

  required_resource_access {
    resource_app_id = local.graph_api_permissions.resource_app_id

    # 用dynamic块遍历生成每个resource_access嵌套配置
    dynamic "resource_access" {
      for_each = local.graph_api_permissions.resource_access
      content {
        id   = resource_access.value.id
        type = resource_access.value.type
      }
    }
  }
}

方法二：使用变量定义可外部传入的权限配置 #

如果需要从Terraform外部（如tfvars文件、命令行参数）传入权限配置，可通过变量实现：

# 定义共享API权限的变量结构
variable "shared_api_permissions" {
  type = object({
    resource_app_id = string
    resource_access = list(object({
      id   = string
      type = string
    }))
  })
  description = "通用API权限配置，供所有Azure AD应用复用"
  # 设置默认值，也可通过tfvars覆盖
  default = {
    resource_app_id = "00000003-0000-0000-c000-000000000000"
    resource_access = [
      {
        id   = "df021288-bdef-4463-88db-98f22de89214"
        type = "Role"
      },
      {
        id   = "18a4783c-866b-4cc7-a460-3d5e5662c884"
        type = "Role"
      },
      {
        id   = "9a5d68c3-3e9b-4f12-91e7-4d74a2402fb0"
        type = "Role"
      }
    ]
  }
}

# 批量创建应用，引用变量中的权限配置
resource "azuread_application" "multi_apps_from_var" {
  for_each = toset(["App-Client-A", "App-Client-B"])
  display_name = each.value

  required_resource_access {
    resource_app_id = var.shared_api_permissions.resource_app_id

    dynamic "resource_access" {
      for_each = var.shared_api_permissions.resource_access
      content {
        id   = resource_access.value.id
        type = resource_access.value.type
      }
    }
  }
}

关键注意事项 #

• 嵌套块处理：resource_access是嵌套块，不能直接赋值列表，必须用dynamic块遍历生成每个子配置
• 权限ID正确性：确保权限ID和Microsoft Graph的App ID是官方有效值，示例中已替换为真实的应用权限ID
• 批量创建方式：使用for_each（推荐）或count批量生成应用，避免重复编写资源代码

内容的提问来源于stack exchange，提问作者Container-Man