如何修复Ansible Azure动态库存同步时的.azure_rm插件403错误

核心问题定位 #

403状态码说明凭据权限不足，无法访问Microsoft.Compute/virtualMachines资源，优先从权限配置、凭据有效性入手排查。

排查步骤 #

1. 验证ARM凭据的权限配置 #

• 登录Azure门户，找到对应服务主体（客户端ID对应的应用注册）
• 确保该服务主体在目标订阅下拥有至少虚拟机读取权限（比如Virtual Machine Contributor或Reader角色）
• 注意：Azure RBAC权限可能有10-15分钟延迟，若刚配置需等待后重试

2. 确认凭据参数正确性 #

• 核对azure_rm.yml中的订阅ID、租户ID、客户端ID、客户端密钥是否完全匹配，避免空格、拼写错误
• 用Azure CLI测试凭据有效性：

  az login --service-principal -u <客户端ID> -p <客户端密钥> --tenant <租户ID>
  az vm list --subscription <订阅ID>
  

  如果CLI执行az vm list也报错403，说明权限确实有问题；如果能正常返回虚拟机列表，再排查Ansible配置

3. 检查Ansible Azure集合配置 #

• 确保azure_rm.yml无语法错误，示例正确配置片段：

  plugin: azure.azcollection.azure_rm
  auth_source: credential_file
  subscription_id: "your-sub-id"
  tenant_id: "your-tenant-id"
  client_id: "your-client-id"
  secret: "your-client-secret"
  

• 若用环境变量传递凭据，确认变量已正确设置：

  export AZURE_SUBSCRIPTION_ID="your-sub-id"
  export AZURE_TENANT_ID="your-tenant-id"
  export AZURE_CLIENT_ID="your-client-id"
  export AZURE_SECRET="your-client-secret"
  

4. 排查版本兼容性 #

• Ansible Core 2.14.4推荐搭配azure.azcollection>=1.14.0，可尝试锁定兼容版本重新安装：

  ansible-galaxy collection install azure.azcollection:==1.16.0
  

• 检查Azure SDK依赖包版本，确保azure-mgmt-compute等包为兼容版本：

  pip list | grep azure-mgmt
  

5. 检查订阅与资源范围 #

• 确认目标订阅处于激活状态，未被禁用或过期
• 如果服务主体权限仅针对特定资源组，需在azure_rm.yml中指定范围：

  resource_groups:
    - your-resource-group-name
  

内容的提问来源于stack exchange，提问作者Ho jae Jeong