Terraform Cloud无法在防火墙后存储账户创建容器（403授权失败）

以下是针对你遇到的「AuthorizationFailure」403错误的排查方向：

• 确认Terraform Cloud实际出站IP范围：部分Terraform Cloud工作区可能使用IP池而非单一IP，需核实当前执行部署的工作区实际请求来源IP，并确保所有相关IP都已加入存储账户防火墙白名单。可通过Terraform Cloud工作区日志或Azure网络监控追踪请求源IP。

• 检查存储账户信任服务设置：在存储账户的「网络」设置中，确认是否勾选了「允许受信任的Microsoft服务访问此存储账户」。若Terraform Cloud通过Azure服务主体发起请求，开启此选项可避免服务路径被防火墙拦截。

• 验证服务主体权限的有效性：

  • 确认RBAC权限是直接分配到目标存储账户级别，而非仅分配到父资源组且存在继承限制；
  • Azure RBAC权限可能存在5-10分钟的同步延迟，若刚配置完权限，可等待片刻后重试；
  • 使用Azure CLI执行命令验证权限：

    az role assignment list --assignee <服务主体ID> --scope /subscriptions/<订阅ID>/resourceGroups/<资源组>/providers/Microsoft.Storage/storageAccounts/<存储账户名>
    

    检查输出中是否包含Contributor和Storage Blob Data Owner权限。

• 确认Terraform认证上下文：确保Terraform配置中azurerm provider正确使用了目标服务主体的凭据，避免误用本地Azure CLI缓存的其他认证信息。可在provider配置中明确指定参数：

  provider "azurerm" {
    features {}
    client_id     = var.client_id
    client_secret = var.client_secret
    tenant_id     = var.tenant_id
    subscription_id = var.subscription_id
  }
  

• 排查存储账户网络访问策略：

  • 确认存储账户的默认网络访问策略为「允许所选网络」，而非「拒绝所有」；
  • 若存储账户配置了虚拟网络端点，需确认Terraform Cloud的IP不在VNet外部被端点规则拦截。

• 查看存储账户活动日志：在Azure门户的存储账户「活动日志」中，筛选失败的容器创建请求，查看日志详情中的具体错误提示，区分是IP未被防火墙允许，还是RBAC权限不足导致的问题。

内容的提问来源于stack exchange，提问作者Aziz Suterwala