将Terraform状态文件存储于单个Azure订阅并部署至多Azure订阅（中国云与公有云）的配置问题及报错解决咨询

方案可行性 #

完全可行！你可以用单个Azure公有云的存储账户统一管理Azure中国云+公有云多订阅的Terraform状态文件，只要正确配置后端访问端点、跨云服务主体权限，以及提供者的云环境参数。

你当前遇到的SubscriptionNotFound错误，核心原因是：当你切换到AzureChinaCloud上下文时，Terraform默认用中国云的ARM端点去访问公有云的存储账户，而中国云的ARM服务无法识别公有云的订阅ID，导致404。

实现步骤 #

1. 调整Terraform后端配置，强制指向公有云端点 #

因为存储账户在公有云，不管当前CLI上下文是什么，都要让Terraform后端用公有云的ARM服务去访问它。修改你的backend块：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "=2.78.0"
    }
  }
  backend "azurerm" {
    resource_group_name  = "Terraform-rg"
    storage_account_name = "terraformstate"
    container_name       = "tfstate"
    subscription_id      = "00000000-0000-0000-0000-000000000000"
    key                  = "prod"
    # 明确指定使用公有云环境，确保后端访问正确的ARM端点
    environment = "public"
  }
}

如果你的azurerm版本（2.78.0）不支持environment参数，可以手动指定公有云的ARM端点：

backend "azurerm" {
  # 保留其他原有配置
  endpoint = "https://management.azure.com/"
}

2. 给中国云的服务主体授予公有云存储账户的访问权限 #

你需要让中国云部署用的服务主体（即provider "azurerm" "sub2"中的client_id）拥有读写公有云存储账户Blob的权限：

1. 切换到公有云的CLI上下文：

   az cloud set --name AzureCloud
   az account set --subscription "00000000-0000-0000-0000-000000000000" # 存储账户所在的公有云订阅
   

2. 查询中国云服务主体的对象ID：

   az ad sp show --id "xxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxxxx" --query id -o tsv
   

3. 为该服务主体分配存储Blob数据参与者角色（遵循最小权限原则）：

   az role assignment create \
     --assignee <上一步获取的服务主体对象ID> \
     --role "Storage Blob Data Contributor" \
     --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/Terraform-rg/providers/Microsoft.Storage/storageAccounts/terraformstate"
   

3. 配置Azure中国云的Provider指向正确的云环境 #

确保中国云的provider明确连接中国云的ARM端点，避免和后端的公有云访问混淆：

provider "azurerm" {
  features {}
  alias           = "sub2"
  subscription_id = "xxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxxxx"
  client_id       = "xxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxxxx"
  client_secret   = var.client_secret
  tenant_id       = "xxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxxxx"
  # 指定中国云环境
  environment = "china"
}

如果版本不支持environment，手动指定中国云端点：

provider "azurerm" {
  # 保留其他配置
  endpoint = "https://management.chinacloudapi.cn/"
}

4. 初始化Terraform的正确姿势 #

初始化时，需要确保Terraform有访问公有云存储账户的凭据，推荐用环境变量单独指定后端的认证信息（和中国云provider的认证分开）：

# 先切换到中国云上下文，用于后续部署资源
az cloud set --name AzureChinaCloud

# 设置环境变量，让Terraform后端用公有云的服务主体认证
export ARM_SUBSCRIPTION_ID="00000000-0000-0000-0000-000000000000"
export ARM_CLIENT_ID="<公有云服务主体ID>"
export ARM_CLIENT_SECRET="<公有云服务主体密钥>"
export ARM_TENANT_ID="<你的Azure AD租户ID>"
export ARM_ENVIRONMENT="public"

# 执行初始化
terraform init

额外优化建议 #

• 为不同云/订阅的状态文件设置不同的key，比如prod-china-sub2.tfstate、prod-public-main.tfstate，避免状态文件覆盖冲突。
• 遵循最小权限原则：服务主体只需要存储账户的Blob数据访问权限，不要分配更宽泛的角色。
• 如果需要管理多个环境，考虑用Terraform工作区（workspaces）配合不同的key，让状态管理更清晰。

内容的提问来源于stack exchange，提问作者pk_dhruv