使用Azure服务主体时Terraform仍要求Azure CLI登录的问题

报错的根源是Terraform后端（backend "azurerm"）的认证配置缺失。terraform init执行时会优先初始化远程状态后端，你的后端配置没有指定服务主体凭据，所以默认尝试调用Azure CLI获取权限，而你已经退出了CLI，因此触发错误。provider块的配置是针对资源部署的，和后端初始化的认证逻辑是完全分开的。

你需要为AzureRM后端也配置服务主体认证，以下是两种常用实现方式：

方式1：在backend块中直接指定认证参数 #

修改Terraform配置，在backend块内添加服务主体相关字段：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "=3.0.0"
    }
  }
  backend "azurerm" {
    resource_group_name  = "rg-XXXX"
    storage_account_name = "saXXXXX"
    container_name       = "XXXXX"
    key                  = "XXXXX"
    
    # 添加后端认证的服务主体参数
    subscription_id = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
    client_id       = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
    client_secret   = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
    tenant_id       = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
  }
}

provider "azurerm" {
  features {}
  subscription_id = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
  client_id       = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
  client_secret   = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
  tenant_id       = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
}

方式2：使用环境变量传递后端认证凭据 #

为避免硬编码敏感信息，更推荐用环境变量传递后端的认证参数：
在执行terraform init前，设置对应环境变量：

# Linux/macOS终端
export ARM_SUBSCRIPTION_ID="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
export ARM_CLIENT_ID="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
export ARM_CLIENT_SECRET="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
export ARM_TENANT_ID="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"

# Windows PowerShell
$env:ARM_SUBSCRIPTION_ID="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
$env:ARM_CLIENT_ID="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
$env:ARM_CLIENT_SECRET="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
$env:ARM_TENANT_ID="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"

设置完成后执行terraform init，后端会自动读取这些环境变量完成认证。

• 不要将包含敏感凭据的配置文件提交到版本控制系统，建议配合Terraform Workspace或环境变量管理敏感信息。
• provider块和backend块的认证参数可以复用，但后端不会自动继承provider的配置，必须单独配置或通过环境变量统一传递。

内容的提问来源于stack exchange，提问作者anoj-cha