如何通过Terraform为Azure DevOps项目分配Storage Blob Data Contributor权限？

问题背景 #

使用Azure DevOps流水线将静态内容部署到存储账户容器，改用Terraform部署基础设施时，角色分配环节一直处于“创建中”状态，超过10分钟无报错，只能取消命令。

手动在Azure中添加角色分配的步骤：

• 进入存储账户
• 打开访问控制(IAM)
• 添加新角色分配
• 选择Storage Blob Data Contributor角色
• 点击选择成员，选择Azure DevOps项目
• 审核并分配

对应的Terraform代码：

resource "azurerm_resource_group" "resource_group" {
  name     = var.resource_group_name
  location = var.location
}

resource "azurerm_storage_account" "storage_account" {
  name                     = var.storage_account_name
  resource_group_name      = azurerm_resource_group.resource_group.name
  location                 = azurerm_resource_group.resource_group.location
  account_tier             = "Standard"
  account_replication_type = "LRS"
}

resource "azurerm_role_assignment" "role_assignment" {
  scope                = azurerm_storage_account.storage_account.id
  role_definition_id = "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/roleDefinitions/ba92f5b4-2d11-453d-a403-e96b0029c9fe" # Storage Blob Data Contributor角色ID
  principal_id         = "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy" # 疑问：是否为应用ID？
}

问题排查与解决要点 #

1. 确认Principal ID的正确性 #

手动选择Azure DevOps项目时，实际是给Azure DevOps服务连接对应的服务主体分配角色，而非项目本身。principal_id需要填写对应服务连接的服务主体对象ID，而非项目ID或应用ID：

• 登录Azure门户，进入Azure Active Directory → 企业应用程序，找到对应Azure DevOps服务连接的服务主体，复制其对象ID。

2. 检查Terraform执行账号的权限 #

执行Terraform的账号需具备创建角色分配的权限：

• 至少需要Role Based Access Control Administrator角色，或拥有Microsoft.Authorization/roleAssignments/write权限。权限不足时会出现无报错但卡住的隐性等待。

3. 清理重复或冲突的角色分配 #

若目标服务主体已在存储账户（或上级资源组/订阅）拥有相同或更高权限的角色，Terraform可能因状态不一致卡住：

• 手动检查存储账户IAM列表，确认是否已有对应角色分配，再清理或调整Terraform代码。

4. 显式添加资源依赖关系 #

虽然Terraform会自动推断依赖，但可显式指定依赖，确保存储账户完全创建后再执行角色分配：

resource "azurerm_role_assignment" "role_assignment" {
  scope                = azurerm_storage_account.storage_account.id
  role_definition_id = "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/roleDefinitions/ba92f5b4-2d11-453d-a403-e96b0029c9fe"
  principal_id         = "正确的服务主体对象ID"
  depends_on           = [azurerm_storage_account.storage_account]
}

5. 开启调试日志定位问题 #

执行Terraform时开启调试日志，查看Azure API请求的细节，定位卡住的具体原因：

TF_LOG=DEBUG terraform apply

内容的提问来源于stack exchange，提问作者Philippe B.