Terraform向Azure Key Vault分配权限失败：403权限禁止问题排查

核心问题：资源创建顺序导致权限未及时生效 #

Terraform默认会并行创建资源，你的azurerm_key_vault_secret资源在azurerm_role_assignment完成权限配置前就开始执行，此时运行Terraform的身份还未获得Key Vault的操作权限，因此触发403禁止错误。

解决步骤 #

1. 添加显式依赖关系 #

修改azurerm_key_vault_secret资源，加入depends_on参数，强制它在角色分配完成后再创建：

resource "azurerm_key_vault_secret" "storage_account_key" {
  name         = "auditmeta-storage-account-key"
  value        = azurerm_storage_account.storage_account.primary_access_key
  key_vault_id = azurerm_key_vault.vault.id

  depends_on = [azurerm_role_assignment.keyvault_role]

  tags = {
    Environment = var.environment
    service     = var.service
    team        = var.team
  }
}

2. 验证身份匹配 #

确认data.azurerm_client_config.current.object_id对应的身份，确实是你当前运行Terraform所使用的身份（本地用户账号或服务主体）。可以通过以下命令核对：

• 本地用户：az ad signed-in-user show --query objectId
• 服务主体：az ad sp show --id <你的app-id> --query objectId

3. 备选：改用Key Vault访问策略（应对RBAC生效延迟） #

如果RBAC角色分配存在生效延迟，可直接给目标身份配置Key Vault访问策略替代RBAC角色：

resource "azurerm_key_vault_access_policy" "storage_key_access" {
  key_vault_id = azurerm_key_vault.vault.id
  tenant_id    = data.azurerm_client_config.current.tenant_id
  object_id    = data.azurerm_client_config.current.object_id

  secret_permissions = [
    "Get",
    "Set",
    "Delete"
  ]
}

# 给密钥资源添加依赖
resource "azurerm_key_vault_secret" "storage_account_key" {
  # 保留原有配置
  name         = "auditmeta-storage-account-key"
  value        = azurerm_storage_account.storage_account.primary_access_key
  key_vault_id = azurerm_key_vault.vault.id

  depends_on = [azurerm_key_vault_access_policy.storage_key_access]

  tags = {
    Environment = var.environment
    service     = var.service
    team        = var.team
  }
}

内容的提问来源于stack exchange，提问作者ZZZSharePoint