Terraform配置Azure Key Vault访问策略租户ID不匹配错误排查

问题场景 #

使用Terraform管理Azure Key Vault资源，配置访问策略给指定用户授权时执行terraform apply报错，配置代码如下：

resource "azurerm_key_vault" "keyvault" {
  name                        = "mykeyvault"
  resource_group_name         = azurerm_resource_group.keyvault_rg.name
  location                    = azurerm_resource_group.keyvault_rg.location
  sku_name                    = "standard"
  tenant_id                   = var.tenant_id
  soft_delete_retention_days  = 7
  purge_protection_enabled    = false
}

resource "azurerm_key_vault_access_policy" "access_policy" {
  key_vault_id = azurerm_key_vault.keyvault.id

  tenant_id = var.tenant_id

  access_policy {
    tenant_id = var.tenant_id
    object_id = var.user_object_id

    secret_permissions = ["get", "list"]
  }
}

报错信息 #

Error: Error creating Key Vault Access Policy "access_policy" (Key Vault "mykeyvault"): keyvault.BaseClient#SetAccessPolicy: Failure sending request: StatusCode=400 -- Original Error: autorest/azure: Service returned an error. Status=400 Code="BadArgument" Message="Tenant ID in the access policy does not match tenant ID in the URL.

已确认配置中租户ID填写正确，求错误成因与解决方法。

错误成因 #

这个报错的核心原因是Terraform当前使用的Azure认证租户，和Key Vault绑定的租户ID不一致。

虽然配置里明确指定了Key Vault和访问策略的tenant_id为同一个值，但Terraform调用Azure API时，是用当前登录的Azure账号所在租户来发送请求的，如果这个租户和Key Vault的租户ID不匹配，Azure就会判定请求中的租户（URL里隐含的认证租户）和访问策略里的租户不一致，抛出400错误。

常见触发场景：

• 本地Azure CLI登录了多个租户，当前默认租户不是Key Vault所在的租户
• 使用服务主体认证时，服务主体所属租户和Key Vault租户不匹配
• 配置了多个Azure provider实例，当前使用的provider租户ID和Key Vault的不一致

解决方法 #

针对不同场景，对应解决方案如下：

1. 本地Azure CLI登录场景 #

先切换到Key Vault所在的租户，再执行terraform apply：

# 切换到目标租户对应的订阅
az account set --subscription <你的订阅ID>
# 确认当前租户ID
az account show --query tenantId

确保输出的tenantId和Key Vault配置里的var.tenant_id完全一致，再重新执行Terraform命令。

2. 服务主体认证场景 #

检查服务主体的所属租户，确保和Key Vault的租户ID一致。如果服务主体在其他租户，需要重新在目标租户创建服务主体，或者调整认证环境变量：

# 设置正确的租户ID等认证变量
export ARM_TENANT_ID=<Key Vault的租户ID>
export ARM_CLIENT_ID=<服务主体ID>
export ARM_CLIENT_SECRET=<服务主体密钥>
export ARM_SUBSCRIPTION_ID=<订阅ID>

3. Terraform多Provider场景 #

如果配置了多个Azure provider，需要明确指定Key Vault和访问策略使用的provider是对应租户的实例：

# 定义目标租户的provider实例
provider "azurerm" {
  features {}
  tenant_id = var.tenant_id
  subscription_id = var.subscription_id
}

# 在资源中指定使用该provider
resource "azurerm_key_vault" "keyvault" {
  provider = azurerm
  # 其余配置不变
}

resource "azurerm_key_vault_access_policy" "access_policy" {
  provider = azurerm
  # 其余配置不变
}

额外验证步骤 #

可以先通过Azure CLI手动测试设置访问策略，确认租户匹配：

az keyvault set-policy --name mykeyvault --object-id <用户object_id> --secret-permissions get list --tenant-id <目标租户ID>

如果这个命令能成功执行，说明租户匹配没问题，再回到Terraform排查认证配置。

内容的提问来源于stack exchange，提问作者Nature