Terraform中无法从Azure角色获取UUID的问题求助

你遇到的错误核心是混淆了Azure RBAC角色和Azure AD应用角色的区别，这是两种完全不同的资源类型，不能直接混用：

• azurerm_role_definition 用来获取Azure RBAC（资源访问控制）角色，返回的ID是类似 /subscriptions/{sub-id}/providers/Microsoft.Authorization/roleDefinitions/{uuid} 的完整路径，并非纯UUID。
• azuread_app_role_assignment 用来给服务主体分配Azure AD应用角色（应用内部定义的权限角色，比如App Registration里的自定义角色），要求app_role_id必须是纯UUID格式的应用角色ID。

根据你的实际需求，分两种情况解决：

情况1：给服务主体分配Azure RBAC角色 #

如果你的真实需求是给服务主体分配Azure资源的RBAC权限，应该使用azurerm_role_assignment资源，而非azuread_app_role_assignment：

data "azurerm_role_definition" "test_role" {
  name  = "Test Role"
  scope = data.azurerm_subscription.test-subscription.id
}

resource "azurerm_role_assignment" "test_rbac_assignment" {
  scope              = data.azurerm_subscription.test-subscription.id
  role_definition_id = data.azurerm_role_definition.test_role.id
  principal_id       = azuread_service_principal.test_sp.object_id # 替换为你的服务主体ID
}

也可以直接用角色名简化写法：

resource "azurerm_role_assignment" "test_rbac_assignment" {
  scope                = data.azurerm_subscription.test-subscription.id
  role_definition_name = data.azurerm_role_definition.test_role.name
  principal_id         = azuread_service_principal.test_sp.object_id
}

情况2：给服务主体分配Azure AD应用角色 #

如果你的需求确实是分配Azure AD应用角色，需要先获取目标应用注册的信息，再从中提取对应角色的UUID：

# 获取定义了应用角色的目标应用注册
data "azuread_application" "target_app" {
  display_name = "你的目标应用名称"
}

# 从应用的app_roles列表中提取目标角色的UUID（这里假设角色的value为"test_role"）
locals {
  test_app_role_id = [for role in data.azuread_application.target_app.app_roles : role.id if role.value == "test_role"][0]
}

# 创建应用角色分配
resource "azuread_app_role_assignment" "test_assignment" {
  app_role_id   = local.test_app_role_id
  principal_id  = azuread_service_principal.test_sp.object_id # 替换为你的服务主体ID
  resource_id   = data.azuread_application.target_app.object_id # 目标应用的object ID
}

关键说明 #

• Azure RBAC角色用于控制Azure资源（如VM、存储账户）的访问权限，属于资源层面的权限体系。
• Azure AD应用角色用于控制应用内部的权限（如Web应用的管理员/普通用户角色），属于应用层面的权限体系。
• 两者的ID格式和用途完全独立，不能交叉混用。

内容的提问来源于stack exchange，提问作者Marvin Core