GitHub Workflow中Terraform子目录初始化遇403权限错误求助

核心原因分析 #

主目录能正常初始化但子目录报错403，本质是子目录下的Terraform后端配置或权限上下文和主目录不一致，常见触发点包括：

1. 子目录后端配置参数错误 #

子目录的backend "azurerm"块可能存在参数偏差：

• 写错了storage account名称、容器名（比如主目录用tfstate-prod，子目录误写为tfstate-dev但该容器未创建，或ARM密钥无权限访问）
• 后端配置中使用了未正确传入的变量（比如var.environment），导致init时无法解析正确的存储地址

2. GitHub Workflow环境变量传递失效 #

虽然全局声明了ARM访问密钥，但切换working-directory后，变量可能未正确传递到当前作业上下文：

• 变量名拼写错误（比如ARM_ACCESS_KEY写成ARM_ACCESS_KEYS）
• 作业未显式引用全局环境变量，导致子目录作业无法读取密钥

3. Azure端权限范围不匹配 #

ARM密钥对应的身份（服务主体或存储账户密钥）对子目录对应的存储资源无访问权限：

• 主目录用的存储容器，该身份有ListBlobs权限，但子目录对应的新容器/存储账户未配置对应权限
• 存储账户密钥属于其他账户，或密钥已过期

排查与解决步骤 #

1. 校验子目录后端配置 #

对比主目录和子目录的terraform { backend "azurerm" {} }块，确保以下参数正确：

terraform {
  backend "azurerm" {
    resource_group_name  = "tfstate-rg"
    storage_account_name = "your-tfstate-account"
    container_name       = "tfstate-dev" # 确保和主目录区分且存在
    key                  = "dev.terraform.tfstate"
  }
}

如果使用动态参数，需在init时通过-backend-config传入：

terraform init -backend-config="container_name=tfstate-${ENV_NAME}"

2. 验证Workflow环境变量传递 #

在init步骤前添加调试命令，确认变量在子目录作业中可用：

- name: Debug Env Vars
  working-directory: ./envs/dev
  run: |
    echo "ARM_ACCESS_KEY exists: ${{ env.ARM_ACCESS_KEY != '' }}"
    echo "Current directory: $(pwd)"

确保init步骤显式引用环境变量：

- name: Terraform Init
  working-directory: ./envs/dev
  env:
    ARM_ACCESS_KEY: ${{ secrets.AZURE_STORAGE_ACCOUNT_KEY }}
  run: terraform init

3. 本地复现验证 #

切换到本地子目录，使用相同的ARM密钥执行terraform init：

export ARM_ACCESS_KEY="your-storage-key"
cd ./envs/dev
terraform init

如果本地也报错，说明问题出在Terraform配置或Azure权限，而非Workflow；如果本地成功，说明Workflow的变量传递或上下文有问题。

4. 检查Azure端权限 #

• 使用存储账户密钥：确认密钥属于目标存储账户，且该账户的容器已创建（Terraform init会尝试自动创建容器，但需要密钥有容器创建权限）
• 使用服务主体：在Azure Portal中，给服务主体分配目标存储账户的Storage Blob Data Contributor角色（至少需要ListBlobs权限）

内容的提问来源于stack exchange，提问作者SomeOtherGuy