Terraform导入含空格角色名的role_assignment资源失败求助

一、修复Terraform导入命令的PowerShell引号问题 #

PowerShell对嵌套引号的解析规则和其他Shell不同，直接用单引号包裹带双引号的资源地址会导致解析失败，可通过以下两种方式修正：

方式1：转义资源地址中的双引号 #

将资源索引里的双引号用反引号（`）转义，同时整个命令用双引号包裹：

terraform import "module.my_role_assignment_slot_to_app_config[`"sit03_z-adf-ftnd-shrd-npd-ew1-cfg01`"].azurerm_role_assignment.my_role_assignment[`"App Configuration Data Reader`"]" "/subscriptions/**********/resourceGroups/*********/providers/Microsoft.AppConfiguration/configurationStores/z-adf-ftnd-shrd-npd-ew1-cfg01/providers/Microsoft.Authorization/roleAssignments/<role_assignment_id>"

方式2：使用PowerShell Here-String（更易读） #

用Here-String定义资源地址，避免引号嵌套混乱：

$resourceAddress = @"
module.my_role_assignment_slot_to_app_config["sit03_z-adf-ftnd-shrd-npd-ew1-cfg01"].azurerm_role_assignment.my_role_assignment["App Configuration Data Reader"]
"@

$roleAssignmentId = "/subscriptions/**********/resourceGroups/*********/providers/Microsoft.AppConfiguration/configurationStores/z-adf-ftnd-shrd-npd-ew1-cfg01/providers/Microsoft.Authorization/roleAssignments/<role_assignment_id>"

terraform import $resourceAddress $roleAssignmentId

二、通过PrincipalId自动获取Role Assignment的ResourceId #

用Azure CLI结合JMESPath查询，精准筛选目标Scope、PrincipalId和角色名对应的Role Assignment ID：

# 定义变量
$subscriptionId = "你的订阅ID"
$resourceGroupName = "你的资源组名"
$appConfigName = "z-adf-ftnd-shrd-npd-ew1-cfg01"
$principalId = "目标服务主体的GUID"
$roleName = "App Configuration Data Reader"

# 设置当前订阅
az account set --subscription $subscriptionId

# 查询并提取Role Assignment的ResourceId
$roleAssignmentResourceId = az role assignment list `
  --scope "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.AppConfiguration/configurationStores/$appConfigName" `
  --assignee $principalId `
  --query "[?roleDefinitionName=='$roleName'].id" `
  --output tsv

执行后$roleAssignmentResourceId变量将存储对应资源ID，可直接用于Terraform导入。若查询结果为空，需检查：

• PrincipalId、角色名、Scope的拼写是否完全匹配
• 目标主体是否确实在资源上被分配了对应角色
• 当前Azure CLI登录账号是否拥有读取角色分配的权限（如Reader、Access Control Administrator）

额外优化建议 #

为避免后续导入的引号问题，可在Terraform模块中用无空格键名作为索引，同时保留原角色名用于实际分配：

# 模块调用时用无空格键名映射角色名
module "my_role_assignment_slot_to_app_config" {
  for_each = local.map_slot_app_config
  source = "../../resourceModules/role_assignment"
  scope = each.value.config_id
  role_mappings = {
    "Reader" = "Reader",
    "AppConfigDataReader" = "App Configuration Data Reader"
  }
  principal_id = each.value.slot_guid
}

# 角色分配资源改用映射键作为索引
resource "azurerm_role_assignment" "my_role_assignment" {
  for_each              = var.role_mappings
  scope                = var.scope
  role_definition_name = each.value
  principal_id         = var.principal_id
}

此时导入的资源地址变为module.my_role_assignment_slot_to_app_config["sit03_z-adf-ftnd-shrd-npd-ew1-cfg01"].azurerm_role_assignment.my_role_assignment["AppConfigDataReader"]，无需处理空格和引号转义，稳定性更强。

内容的提问来源于stack exchange，提问作者Philippe Carpentier