Terraform使用azuread_user查询AD组成员遇服务主体报错的解决方案咨询

你用Terraform的azuread_user数据源拉取Azure AD组的所有成员，配置如下：

data "azuread_group" "group" {
  display_name     = "group_display_name"
  security_enabled = true
}

data "azuread_user" "members" {
  for_each = to_set(data.azuread_group.group.members)
  object_id = each.key
}

组内仅包含用户时运行正常，但添加服务主体后，Terraform会报错——因为服务主体的ID找不到对应的用户：

Error: User not found with object ID "aaaaaaaa-bbbb-cccc-dddddddddddd"

现在你想保留组内的服务主体，同时仅过滤出用户，再将这些用户分配为其他AAD组的所有者，询问如何实现、是否需要调整权限分配逻辑。

1. 通过目录对象筛选用户类型 #

先使用azuread_directory_objects获取组内所有成员的详细类型信息，筛选出用户类型的ID后，再调用azuread_user数据源：

data "azuread_group" "group" {
  display_name     = "group_display_name"
  security_enabled = true
}

# 获取组内所有成员的目录对象详情，包含类型信息
data "azuread_directory_objects" "group_members" {
  object_ids = data.azuread_group.group.members
}

# 仅保留用户类型的对象ID
locals {
  user_ids = [
    for obj in data.azuread_directory_objects.group_members.objects : obj.object_id
    if obj.object_type == "User"
  ]
}

# 只针对用户ID拉取用户数据
data "azuread_user" "members" {
  for_each = to_set(local.user_ids)
  object_id = each.key
}

这样就不会把服务主体ID传入azuread_user数据源，避免报错的同时，组内的服务主体也能保留（只是不执行用户相关操作）。

2. 若仅需ID分配所有者，可跳过用户数据源 #

如果给目标组添加所有者只需要对象ID，不需要用户的额外属性，直接用筛选后的用户ID配置azuread_group_owner即可，省去拉取用户数据的步骤：

# 定义需要分配所有者的目标组
data "azuread_group" "target_group" {
  display_name     = "你的目标组名称"
  security_enabled = true
}

# 为目标组添加用户所有者
resource "azuread_group_owner" "target_group_owners" {
  for_each = to_set(local.user_ids)
  group_object_id = data.azuread_group.target_group.object_id
  owner_object_id = each.key
}

不需要调整核心逻辑，你本来就是要将组内用户设为其他组的所有者，服务主体无需该权限，所以仅过滤用户是合理的。如果后续需要服务主体也成为目标组所有者，只需修改筛选条件，加入ServicePrincipal类型即可：

locals {
  eligible_owner_ids = [
    for obj in data.azuread_directory_objects.group_members.objects : obj.object_id
    if obj.object_type == "User" || obj.object_type == "ServicePrincipal"
  ]
}

内容的提问来源于stack exchange，提问作者mauek unak