使用Terraform Azurerm注册Azure服务提供商遇403授权失败

问题详情 #

错误信息 #

无法向Azure资源管理器注册Microsoft.ServiceFabricMesh提供程序：resources.ProvidersClient#Register: 请求响应失败：状态码=403 -- 原始错误：autorest/azure: 服务返回错误。状态=403 代码="AuthorizationFailed" 消息="客户端'xxxxxxxxxxxxxxxxxxxxxxx'（对象ID为'xxxxxxxxxxxxxxxxxxxxxxx'）没有权限在范围'0000000000000000000000'上执行操作'Microsoft.ServiceFabricMesh/register/action'，或者范围无效。如果最近已授予访问权限，请刷新凭据。"

环境信息 #

• 使用的Terraform AzureRM提供程序：registry.terraform.io/hashicorp/azurerm
• 提供程序定义位置：backend.tf文件第18行的provider "azurerm"块：

18: provider "azurerm"

已尝试的无效方案 #

• 排查Terraform计划与AzureRM提供兼容性的常规方案
• 创建IAM用户并为服务主体分配权限的标准流程

针对性解决方案 #

以下是直接解决该权限问题的步骤：

1. 确认服务主体的权限范围
   确保你使用的服务主体（即错误中的客户端ID）拥有订阅级别的权限，因为资源提供程序注册操作需要在订阅范围内执行。如果之前只在资源组级别分配权限，会导致范围无效的问题。

2. 分配正确的IAM角色
   为服务主体分配以下任一合适的角色：

   • 参与者（Contributor）：拥有订阅内大部分资源的管理权限，包括注册资源提供程序
   • 资源提供程序注册参与者（Resource Provider Registration Contributor）：专门用于管理资源提供程序注册的细粒度角色

   操作步骤：

   • 登录Azure门户，进入目标订阅的「IAM」页面
   • 点击「添加」→「添加角色分配」
   • 搜索并选择上述角色之一，然后选择对应的服务主体完成分配

3. 刷新凭据并重新运行
   如果刚分配完权限，执行以下命令刷新本地凭据缓存：

   az account clear
   az login --service-principal -u <client-id> -p <client-secret> --tenant <tenant-id>
   

   之后重新运行terraform plan或terraform apply。

4. 手动注册资源提供程序
   如果服务主体权限配置正确但仍报错，可以先手动在Azure门户注册Microsoft.ServiceFabricMesh提供程序：

   • 进入目标订阅的「资源提供程序」页面
   • 搜索「Microsoft.ServiceFabricMesh」，点击「注册」，等待注册完成后再执行Terraform操作

内容的提问来源于stack exchange，提问作者kinjal parate