使用Terraform创建Azure应用注册遇Authorization_RequestDenied权限错误

问题原因分析 #

你遇到的403错误，核心原因是Azure AD角色与Terraform调用的Microsoft Graph API权限不匹配，或是登录身份的权限范围未覆盖Terraform执行所需的操作。虽然你持有Application Developer和Groups Administrator角色，但需要确保这些角色的权限能通过Graph API生效，且Terraform使用的身份已获取正确的权限范围。

具体解决步骤 #

1. 补充缺失的客户端配置数据源 #

你的代码中引用了data.azuread_client_config.current.object_id作为应用所有者，但未定义该数据源。添加以下代码到配置中：

data "azuread_client_config" "current" {}

缺失这个数据源会导致所有者字段无法正确赋值，可能触发额外的权限校验失败。

2. 确认Azure AD角色为租户级别分配 #

Application Developer是Azure AD租户级角色，必须在租户根级别分配给你的用户，而非某个Azure资源组。检查方式：

• 登录Azure门户，进入「Azure Active Directory」>「角色和管理员」>「Application Developer」
• 确认你的用户在角色成员列表中，且分配范围为「整个租户」

3. 显式指定AzureAD Provider的权限范围 #

默认情况下，azuread provider使用https://graph.microsoft.com/.default权限范围，但可能需要显式请求所需的委托权限。修改provider配置：

provider "azuread" {
  tenant_id = "....."
  use_cli = true
  scopes = [
    "https://graph.microsoft.com/Application.ReadWrite.All",
    "https://graph.microsoft.com/Directory.Read.All"
  ]
}

添加scopes字段后，重新执行az login并同意权限请求（首次执行会弹出授权提示）。

4. 验证Graph API权限 #

通过PowerShell验证你的身份是否拥有创建应用的权限：

# 登录并获取令牌
Connect-MgGraph -Scopes "Application.ReadWrite.All"
# 尝试创建测试应用
New-MgApplication -DisplayName "test-terraform-app"

如果命令成功执行，说明身份权限正常，问题出在Terraform配置；如果失败，需重新检查角色分配。

5. 排查应用配置中的敏感属性 #

你的代码中设置了feature_tags.custom_single_sign_on = true和api.mapped_claims_enabled = true，虽然门户中可操作，但通过Graph API创建时可能需要额外权限。可以先注释这些属性，执行terraform apply测试，若成功再逐步添加回来，确认是否是某个属性导致的权限问题。

总结 #

优先补充缺失的数据源，确认租户级角色分配，再显式指定权限范围，基本可解决该403错误。若问题仍存在，需检查是否有Azure AD租户级别的权限限制（如管理员设置了应用创建限制）。

内容的提问来源于stack exchange，提问作者admin