Terraform能否通过服务主体而非访问密钥认证Azure存储容器并使用RBAC？

问题原因 #

你遇到的403错误是因为默认情况下，Terraform Azure后端会尝试通过存储账户密钥访问状态文件，这需要服务主体拥有Microsoft.Storage/storageAccounts/listKeys/action权限。但你可以配置Terraform使用Azure AD RBAC认证，绕过对存储账户密钥的依赖。

解决方案步骤 #

1. 确认服务主体的RBAC权限

   • 保留现有针对目标存储容器的Storage Blob Data Contributor角色（用于读写状态文件Blob）
   • 为服务主体添加针对存储账户的Microsoft.Storage/storageAccounts/listAccountSas/action权限：
     • 推荐创建自定义角色，仅包含该操作（遵循最小权限原则）；若接受权限范围，也可使用内置的Storage Account Contributor角色

2. 配置Terraform后端启用Azure AD认证
   在你的Terraform配置的backend "azurerm"块中添加use_azuread_auth = true，且无需指定access_key参数。示例配置如下：

   terraform {
     backend "azurerm" {
       resource_group_name  = "your-resource-group-name"
       storage_account_name = "app541certfremotebackend"
       container_name       = "your-container-name"
       key                  = "terraform.tfstate"
       use_azuread_auth     = true
     }
   }
   

3. 设置服务主体认证凭据
   确保Terraform能获取到服务主体的认证信息，可通过以下方式之一实现：

   • 设置环境变量：ARM_CLIENT_ID、ARM_CLIENT_SECRET、ARM_TENANT_ID、ARM_SUBSCRIPTION_ID
   • 使用Azure CLI登录服务主体：az login --service-principal -u <client-id> -p <client-secret> --tenant <tenant-id>，Terraform会自动读取CLI的上下文凭据

优势说明 #

这种方式无需存储账户访问密钥，权限更精细：

• 服务主体无法获取到能访问存储账户下所有容器的密钥
• 仅需对目标容器拥有Blob数据操作权限，加上生成限定范围SAS的权限，完全符合最小权限原则

内容的提问来源于stack exchange，提问作者mark