移除Azure存储专用端点后Terraform初始化报403权限错误求助

Terraform状态存储是否必须使用Azure存储专用端点？ #

不是。Azure存储专用端点是可选的安全增强配置，作用是让Terraform与存储账户的流量通过Azure私有网络传输，避免暴露在公网中。你完全可以通过公网访问存储账户来托管Terraform状态，只要存储账户的网络策略允许即可。

403 AuthorizationFailure报错原因分析 #

出现这个错误的核心原因是Terraform执行环境无法通过当前的网络/权限配置访问Azure存储账户，具体常见场景：

• 存储账户网络访问策略限制：之前配置专用端点时，存储账户的网络规则可能设置为“允许选定的网络”，且仅授权了专用端点所在的VNet。移除专用端点后，你的Terraform执行环境（本地机器、CI/CD服务器）不在允许的网络范围内，请求被存储账户防火墙拦截。
• 身份凭据权限不足或失效：如果之前依赖VNet内的托管身份或特定权限的凭据访问存储账户，移除专用端点后，当前使用的Azure凭据（如az login账户、服务主体）没有存储账户的ListBlobs权限，或者凭据已过期/被撤销。
• 网络规则未及时更新：移除专用端点后，未同步调整存储账户的网络规则（比如未添加执行环境的公网IP到允许列表），导致公网请求被拒绝。

修复建议 #

• 检查存储账户网络配置：进入Azure门户的存储账户 -> 网络 -> 防火墙和虚拟网络，将访问规则改为“允许所有网络”（测试用），或添加Terraform执行环境的公网IP/所在VNet到允许列表。
• 验证凭据权限：确保当前使用的Azure身份拥有存储账户的Storage Blob Data Contributor角色，或至少具备Microsoft.Storage/storageAccounts/blobServices/containers/blobs/list/action权限。
• 重新初始化Terraform：执行terraform init -reconfigure，强制重新加载后端配置，确保使用最新的存储账户访问规则。

内容的提问来源于stack exchange，提问作者Daemon