使用Terraform创建Azure AD组并分配角色的代码可行性验证

你的代码整体逻辑是合理的，但存在几个关键问题导致无法正常运行，以下是分析和修正方案：

核心问题与修正点 #

1. 缺少Azure AD提供商
   azuread_group资源属于hashicorp/azuread提供商，而非azurerm提供商，必须在代码中添加并配置该提供商才能创建Azure AD组。

2. Azurerm提供商配置不完整
   代码中provider "azurerm"的....部分需要补充实际的认证方式，比如通过Azure CLI、服务主体或环境变量认证，否则无法与Azure API建立连接。

3. 变量定义中的语法问题
   变量ad_groups的object类型定义和默认值里存在多余的逗号，虽然Terraform对这类语法容错性较高，但规范写法应该移除这些多余逗号。

修正后的完整代码 #

# Required Providers
terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 3.0.2"
    }
    azuread = {
      source  = "hashicorp/azuread"
      version = "~> 2.30.0"
    }
  }
  required_version = ">= 1.1.0"
}

# Configure Azure Resource Manager Provider
provider "azurerm" {
  features {}
  # 示例：使用Azure CLI认证（本地开发常用）
  # 如果是生产环境，推荐使用服务主体认证
}

# Configure Azure AD Provider
provider "azuread" {
  # 同样支持Azure CLI、服务主体等认证方式，与azurerm提供商共享上下文时可省略配置
}

data "azuread_client_config" "current" {}

# Variables
variable "ad_groups" {
  description = "Azure AD groups to be added"
  type = list(object({
    display_name = string
    description  = string
    scope        = string
    role         = string
  }))
  default = [
    {
      display_name = "Group1"
      description  = "some description"
      scope        = "/providers/Microsoft.Management/managementGroups/xxxxx"
      role         = "Owner"
    },
    {
      display_name = "Group2"
      description  = "some description"
      scope        = "/providers/Microsoft.Management/managementGroups/xxxxx"
      role         = "Contributor"
    }
  ]
}

# Create AD Groups and add the Current User as Owner
resource "azuread_group" "this" {
  count             = length(var.ad_groups)
  display_name      = var.ad_groups[count.index].display_name
  description       = var.ad_groups[count.index].description
  security_enabled  = true
  # prevent_duplicate_names = true  # 启用后可防止创建同名组，根据需求开启
  owners            = [data.azuread_client_config.current.object_id]
}

# Assign Azure RBAC Roles to AD Groups
resource "azurerm_role_assignment" "group_role" {
  count                = length(var.ad_groups)
  scope                = var.ad_groups[count.index].scope
  role_definition_name = var.ad_groups[count.index].role
  principal_id         = azuread_group.this[count.index].object_id

  # 依赖项可省略，因为Terraform会通过引用关系自动推断
  # depends_on = [azuread_group.this]
}

额外注意事项 #

• 确保执行Terraform的账号拥有创建Azure AD组和管理指定范围（管理组/订阅）RBAC角色分配的权限。
• 如果管理组IDxxxxx是占位符，需替换为实际的管理组ID。
• azuread提供商的版本可根据需求调整，建议使用与Terraform版本兼容的稳定版本。

内容的提问来源于stack exchange，提问作者One Developer