Terraform通过服务主体认证Azure时需手动输入ID问题求助

可能的原因及对应解决方法 #

1. 自定义变量未关联环境变量 #

如果你的variables.tf里定义的变量没有指定从对应ARM环境变量获取默认值，Terraform会将其视为必填项，从而提示手动输入。
错误示例：

variable "arm_client_id" {
  type        = string
  description = "Azure client ID"
}

修改为关联环境变量的正确写法：

variable "arm_client_id" {
  type        = string
  description = "Azure client ID"
  default     = var("ARM_CLIENT_ID")
}

variable "arm_client_secret" {
  type        = string
  description = "Azure client secret"
  default     = var("ARM_CLIENT_SECRET")
  sensitive   = true
}

variable "arm_tenant_id" {
  type        = string
  description = "Azure tenant ID"
  default     = var("ARM_TENANT_ID")
}

variable "arm_subscription_id" {
  type        = string
  description = "Azure subscription ID"
  default     = var("ARM_SUBSCRIPTION_ID")
}

2. 无需自定义变量，让Provider直接读取环境变量 #

Azure Terraform Provider本身支持直接读取ARM_SUBSCRIPTION_ID、ARM_CLIENT_ID等环境变量，不需要通过自定义变量中转。简化providers.tf：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">= 3.0.0"
    }
  }
}

provider "azurerm" {
  features {}
  # 无需手动指定认证参数，Provider自动读取环境变量
}

3. 确认环境变量在当前Shell会话生效 #

即使.zprofile配置正确，也可能当前Shell没加载最新配置。执行以下命令验证：

echo $ARM_CLIENT_ID
echo $ARM_TENANT_ID

如果输出为空，重新加载配置：

source ~/.zprofile

或重启Shell后再执行Terraform命令。

4. 排查是否存在配置覆盖 #

• 检查terraform.tfvars或.tfvars文件，若里面定义了这些变量但未赋值，会触发手动输入提示。
• 确认没有通过-var命令行参数、TF_VAR_*前缀环境变量覆盖ARM系列变量（这类配置优先级更高）。

5. 验证Provider版本兼容性 #

确保使用azurerm Provider 3.x及以上版本，旧版本可能存在环境变量读取的兼容性问题。在required_providers中指定版本范围后，执行terraform init更新Provider。

内容的提问来源于stack exchange，提问作者bizimunda