Terraform配置Azure Key Vault权限报错：BadRequestFormat请求格式错误

报错原因 #

出现的400 BadRequestFormat错误，核心问题是role_definition_id字段配置错误：该字段要求传入角色的唯一UUID，而非角色名称（比如你用的"Contributor"）。

修正方案 #

方案1：直接使用内置角色固定ID #

Azure内置角色有固定的UUID，比如Contributor角色的ID为b24988ac-6180-42a0-ab88-20f7382dd24c，修改配置如下：

resource "azurerm_role_assignment" "vault_access" {
  scope              = azurerm_key_vault.vault.id
  role_definition_id = "b24988ac-6180-42a0-ab88-20f7382dd24c"
  principal_id       = data.azuread_group.access_audit_members.object_id
}

方案2：动态获取角色ID（推荐） #

通过Terraform数据源动态获取角色ID，避免硬编码，适配不同环境：

# 先获取Contributor角色的定义ID
data "azurerm_role_definition" "contributor" {
  name  = "Contributor"
  scope = azurerm_key_vault.vault.id # 若角色作用于订阅，可替换为订阅ID
}

resource "azurerm_role_assignment" "vault_access" {
  scope              = azurerm_key_vault.vault.id
  role_definition_id = data.azurerm_role_definition.contributor.id
  principal_id       = data.azuread_group.access_audit_members.object_id
}

额外检查点 #

• 确认data.azuread_group.access_audit_members.object_id对应的AD组存在且ID正确
• 执行Terraform的账号需拥有创建角色分配的权限（如Owner、User Access Administrator）

内容的提问来源于stack exchange，提问作者ZZZSharePoint