如何将现有Azure应用注册导出为Terraform代码？aztfexport失败解决方案

针对你遇到的aztfexport无法导出现有应用注册的问题，以下是几种可行的解决方案及操作步骤：

方法一：修正aztfexport的使用方式 #

aztfexport对Azure AD资源的导出需要特定权限和正确参数，按以下步骤操作：

• 确认权限：确保你的账号拥有Application Administrator或Global Administrator角色，且已授予Microsoft Graph的Application.ReadWrite.All权限。
• 更新并配置工具：
  1. 安装最新版aztfexport（旧版本可能存在兼容性问题）：

     # macOS用Homebrew
     brew install aztfexport
     # 其他系统可从GitHub Releases下载对应二进制包
     

  2. 登录Azure CLI并切换到目标租户：

     az login
     az account set --subscription <你的订阅ID>
     az account set --tenant <你的租户ID>
     

• 导出应用注册资源：
  应用注册属于Azure AD租户级资源，需通过对象ID而非应用ID导出：

  # 导出应用注册本体
  aztfexport resource "azuread_application" --id <应用注册的对象ID>
  # 导出关联的服务主体（若需管理服务主体配置）
  aztfexport resource "azuread_service_principal" --id <服务主体对象ID>
  # 导出应用密码（需提前获取密码的ID）
  aztfexport resource "azuread_application_password" --id <应用密码ID>
  

  提示：可通过az ad app list --filter "displayName eq '你的应用名称'" --query "[].id"获取应用注册的对象ID

方法二：使用专用工具appreg2tf #

社区工具appreg2tf针对应用注册的导出做了优化，能覆盖更多配置项（如重定向URI、API权限等）：

• 安装工具：

  go install github.com/hashicorp/azuread-sdk-for-go/tools/appreg2tf@latest
  

• 执行导出：
  登录Azure CLI后，运行以下命令导出指定应用注册的完整配置：

  appreg2tf --object-id <应用注册对象ID> --output ./terraform-output
  

  工具会自动生成包含各类配置项的Terraform代码文件。

方法三：手动编写Terraform代码（精确控制场景） #

如果需要完全自定义配置，可结合Azure CLI获取的信息手动编写：

1. 配置AzureAD Provider：

   terraform {
     required_providers {
       azuread = {
         source  = "hashicorp/azuread"
         version = "~> 2.30.0"
       }
     }
   }
   
   provider "azuread" {
     tenant_id = "<你的租户ID>"
   }
   

2. 获取应用注册完整配置：

   az ad app show --id <应用注册对象ID> --output json > app-config.json
   

3. 映射为Terraform资源：
   将JSON中的属性映射到azuread_application资源参数，示例：

   resource "azuread_application" "example" {
     display_name     = "你的应用名称"
     sign_in_audience = "AzureADMyOrg"
     redirect_uris    = ["https://example.com/callback"]
   
     api {
       oauth2_permission_scope {
         admin_consent_description  = "允许管理员访问应用"
         admin_consent_display_name = "管理员访问"
         enabled                    = true
         id                         = "<权限ID>"
         type                       = "User"
         user_consent_description   = "允许用户访问应用"
         user_consent_display_name  = "用户访问"
         value                      = "user_impersonation"
       }
     }
   }
   

4. 补充客户端凭据与API权限：
   分别使用azuread_application_password、azuread_application_certificate和azuread_application_api_access资源添加相关配置。

注意事项 #

• 敏感信息（如应用密码）不会被工具自动导出，需手动添加或通过Azure Key Vault管理。
• 部分只读属性（如created_date）无需在Terraform代码中定义。
• 导出后务必执行terraform plan验证配置完整性，修正遗漏的属性。

内容的提问来源于stack exchange，提问作者Serhat