Azure创建角色分配时AuthorizationFailed错误求助

1. 执行Terraform的账户缺少必要权限 #

报错信息明确指出，运行Terraform的客户端（对象ID：9219xxxx-xxxx-xxxx-xxxx-xxxxxxxx）没有Microsoft.Authorization/roleAssignments/write权限，这是导致403错误的核心原因之一。即使你能在Azure门户手动操作，Terraform使用的账户（或服务主体）可能权限不足或作用域不匹配。

修复步骤： #

• 给执行Terraform的账户/服务主体分配角色分配管理员（Role Assignment Administrator）或所有者（Owner）角色：
  • 如果是在资源组级别创建角色分配，就在对应资源组范围内分配该权限；
  • 如果涉及订阅级别的角色分配（比如DNS的那项），需要在订阅级别分配权限。
• 权限配置完成后，执行az account clear（Azure CLI环境）或重新登录，刷新凭据后再运行terraform apply。

2. Terraform代码存在参数错误 #

你的角色分配资源中，principal_id错误地使用了托管标识的资源ID（azurerm_user_assigned_identity.managed-id.id），而正确的参数应该是托管标识的主体ID（principal_id属性），这是常见的配置失误。

修正后的完整代码： #

# User Assigned Managed Identity
resource "azurerm_user_assigned_identity" "managed-id" {
  resource_group_name = var.resource_group
  location            = var.location
  name                = var.name
  tags                = var.tags
}

resource "azurerm_role_assignment" "rg" {
  scope                = data.azurerm_resource_group.rg.id
  role_definition_name = "Contributor"
  # 修正：使用托管标识的principal_id而非资源id
  principal_id         = azurerm_user_assigned_identity.managed-id.principal_id
}

resource "azurerm_role_assignment" "vnet" {
  scope                = data.azurerm_virtual_network.vnet.id
  role_definition_name = "Network Contributor"
  # 修正：使用托管标识的principal_id而非资源id
  principal_id         = azurerm_user_assigned_identity.managed-id.principal_id
}

resource "azurerm_role_assignment" "dns" {
  count                = var.create_dns_ra ? 1 : 0
  scope                = data.azurerm_subscription.sub.id
  role_definition_name = "Private DNS Zone Contributor"
  # 修正：使用托管标识的principal_id而非资源id
  principal_id         = azurerm_user_assigned_identity.managed-id.principal_id
}

3. 额外检查项 #

• 确认data.azurerm_resource_group.rg、data.azurerm_virtual_network.vnet、data.azurerm_subscription.sub已经正确获取到目标资源的ID，不存在作用域无效的问题；
• 如果使用服务主体执行Terraform，检查服务主体的权限是否过期，以及订阅/资源组的访问策略是否存在限制；
• 若刚分配完权限，等待5-10分钟让Azure完成权限同步，再重新执行部署命令。

内容的提问来源于stack exchange，提问作者ghenzi83