如何通过Terraform为Azure应用注册分配多订阅读取权限（代码排错）

存在的语法/引用错误点： #

• 资源引用名称不匹配：创建的应用注册资源名称是appregistration，但在azuread_application_password和角色分配中错误引用了azuread_application.app.id、azuread_appregistration.principal.id，实际应引用azuread_application.appregistration相关属性。
• 服务主体ID引用错误：角色分配的principal_id需要使用应用对应的服务主体ID，azuread_application资源本身没有principal.id属性，需通过azuread_service_principal资源获取服务主体的object_id。
• Scope属性无效：第二个角色分配的scope使用azuread_application.app.scope是错误的，订阅级角色分配需指定订阅ID（可通过azurerm_subscription数据源获取）。
• 未定义数据源：第一个角色分配中data.azurerm_read_access.exauto.id是未定义的自定义数据源，应替换为标准的订阅数据源。

修正后的代码示例： #

# 配置多订阅Azure提供商（需根据实际认证信息完善）
provider "azurerm" {
  alias = "exam1-prod"
}

provider "azurerm" {
  alias = "exam2-prod"
}

# 获取exam1-prod订阅信息
data "azurerm_subscription" "exam1-prod" {
  provider = azurerm.exam1-prod
}

# 获取exam2-prod订阅信息
data "azurerm_subscription" "exam2-prod" {
  provider = azurerm.exam2-prod
}

# 创建应用注册
resource "azuread_application" "appregistration" {
  display_name = var.appregistration_display_name
}

# 创建应用对应的服务主体（角色分配依赖此资源的object_id）
resource "azuread_service_principal" "appregistration_sp" {
  application_id = azuread_application.appregistration.application_id
}

# 创建客户端密钥
resource "azuread_application_password" "app" {
  display_name          = var.clientsecret_display_name
  application_object_id = azuread_application.appregistration.object_id
}

# 为exam1-prod订阅分配Reader角色
resource "azurerm_role_assignment" "read_access_exauto" {
  provider             = azurerm.exam1-prod
  scope                = data.azurerm_subscription.exam1-prod.id
  role_definition_name = "Reader" 
  principal_id         = azuread_service_principal.appregistration_sp.object_id
}

# 为exam2-prod订阅分配Reader角色
resource "azurerm_role_assignment" "read_access_pop" {
  provider             = azurerm.exam2-prod
  scope                = data.azurerm_subscription.exam2-prod.id
  role_definition_name = "Reader" 
  principal_id         = azuread_service_principal.appregistration_sp.object_id 
}

关键修正说明： #

• 新增azuread_service_principal资源关联应用注册，角色分配的principal_id必须使用该资源的object_id。
• 替换无效的Scope引用，通过azurerm_subscription数据源获取合法的订阅ID作为角色分配范围。
• 统一所有资源引用名称，确保与实际创建的资源名称一致。
• 补充多订阅提供商的基础配置框架。

内容的提问来源于stack exchange，提问作者saravana raj