Terraform迁移本地状态到azurerm后端时遇ARM Config构建错误

我正在使用Terraform在Microsoft Azure上创建存储容器以存储远程状态文件。通过本地状态文件，我编写了对应的Terraform代码并成功部署了基础设施。但当我在main.tf中添加azurerm后端以迁移本地状态时，执行terraform init -migrate-state出现以下错误：

❯ terraform init -migrate-state

Initializing the backend...
╷
│ Error: Error building ARM Config: please ensure you have installed Azure CLI version 2.0.79 or newer. Error parsing json result from the Azure CLI: launching Azure CLI: exec: "az": executable file not found in $PATH.

我已设置以下环境变量：

• ARM_SUBSCRIPTION_ID=xxxxxxxxxxxxxxx
• ARM_TENANT_ID=xxxxxxxxxxxxx
• ARM_CLIENT_ID=xxxxxxxxxxxxx

并使用输入变量处理client_certificate_path和client_certificate_password。使用本地后端执行terraform init/plan/apply时一切正常，代码如下：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">=3.52.0"
    }
  }
}

provider "azurerm" {
  features {}
  client_certificate_path     = var.client_certificate_path
  client_certificate_password = var.client_certificate_password
}

我期望添加azurerm后端后，能通过terraform init -migrate-state将状态信息迁移至远程后端，相关代码如下：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">=3.52.0"
    }
  }
  backend "azurerm" {
    resource_group_name  = "exampletfstate"
    storage_account_name = "exampletfstate"
    container_name       = "exampletfstate"
    key                  = "state.terraform.tfstate"
  }
}

provider "azurerm" {
  features {}
  client_certificate_path     = var.client_certificate_path
  client_certificate_password = var.client_certificate_password
}

但仍出现上述错误，Terraform在使用azurerm后端时未读取到服务主体凭据，无法定位问题所在。

Terraform/Provider版本信息：

❯ terraform --version
Terraform v1.4.5
on darwin_arm64
+ provider registry.terraform.io/hashicorp/azurerm v3.52.0

Terraform的azurerm后端与azurerm provider的认证机制相互独立，你当前的provider用了证书认证，但后端默认优先尝试Azure CLI认证，因此即使provider配置了证书，后端仍会查找az CLI，导致报错。要让azurerm后端使用服务主体证书认证，可通过以下两种方式解决：

方法1：在后端块中直接配置证书参数 #

修改backend块，补充认证相关参数（建议用变量传递敏感信息，避免硬编码）：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">=3.52.0"
    }
  }
  backend "azurerm" {
    resource_group_name        = "exampletfstate"
    storage_account_name       = "exampletfstate"
    container_name             = "exampletfstate"
    key                        = "state.terraform.tfstate"
    subscription_id            = var.arm_subscription_id
    tenant_id                  = var.arm_tenant_id
    client_id                  = var.arm_client_id
    client_certificate_path    = var.client_certificate_path
    client_certificate_password = var.client_certificate_password
  }
}

方法2：通过环境变量传递后端认证信息 #

除已设置的ARM_SUBSCRIPTION_ID、ARM_TENANT_ID、ARM_CLIENT_ID，添加以下环境变量：

• ARM_CLIENT_CERTIFICATE_PATH：证书文件的本地路径
• ARM_CLIENT_CERTIFICATE_PASSWORD：证书的访问密码

设置完成后重新执行terraform init -migrate-state即可。

补充说明 #

azurerm后端支持Azure CLI、服务主体（密码/证书）、托管标识等多种认证方式。若不想依赖Azure CLI，必须明确指定后端使用服务主体证书认证的参数，否则会默认触发CLI认证流程，导致找不到az命令的错误。

内容的提问来源于stack exchange，提问作者ds1k99