Terraform部署Azure AD资源时遇403 OData错误求助

以下是针对ServicePrincipalsClient.BaseClient.Post(): unexpected status 403 with OData error错误的具体排查和修复方案：

• 确认用户/凭据的Azure AD权限
  普通用户默认没有创建应用注册和服务主体的权限，必须拥有以下角色之一：Application Administrator、Cloud Application Administrator或Global Administrator。本地运行时检查az login的账号权限，CI/CD环境则要确保使用的服务主体被授予Application.ReadWrite.All或Directory.ReadWrite.All的API权限（需管理员同意）。

• 暂时移除owners配置
  你的代码中给应用注册和服务主体都指定了owners字段，如果当前用户没有添加自身为所有者的权限（比如是外部租户用户），会触发403。先注释掉这两行代码测试：

  # owners       = [local.current_user_id]
  

  成功创建后，可在Azure门户手动添加所有者。

• 检查租户应用注册限制
  登录Azure门户，进入Azure AD -> 用户设置 -> 应用注册设置，确认"用户可以注册应用程序"选项设为"是"，部分租户会禁用该权限导致创建失败。

• 升级AzureAD Provider版本
  旧版本Provider存在兼容性问题，在versions.tf中指定最新稳定版并升级：

  terraform {
    required_providers {
      azuread = {
        source  = "hashicorp/azuread"
        version = "~> 2.45.0" # 替换为当前最新版本
      }
    }
  }
  

  执行terraform init -upgrade完成升级。

修改后的示例代码（注释owners字段）：

# Create Azure AD App Registration
resource "azuread_application" "app" {
  display_name = "my-app"
  # owners       = [local.current_user_id]
}

# Create Service Principal
resource "azuread_service_principal" "app" {
  application_id               = azuread_application.app.application_id
  app_role_assignment_required = true
  # owners                       = [local.current_user_id]
}

# Create Service Principal password
resource "azuread_service_principal_password" "app" {
  service_principal_id = azuread_service_principal.app.id
}

# Sleep for 300 seconds to allow for propagation
resource "time_sleep" "wait_300_seconds" {
  create_duration = "300s"
  depends_on = [azuread_service_principal_password.app]
}

# Output the Service Principal and password
output "sp" {
  value     = azuread_service_principal.app.id
  sensitive = true
}

output "sp_password" {
  value     = azuread_service_principal_password.app.value
  sensitive = true
}

内容的提问来源于stack exchange，提问作者Shri