Terraform创建Azure Storage Sync Cloud Endpoint失败，请求排查权限问题

核心排查与解决方案 #

1. 确认Terraform的身份上下文 #

• 执行az account show，对比Terraform会话使用的订阅、租户和身份，是否与你在门户/CLI中成功操作的上下文完全一致。Terraform可能加载了不同的配置文件（如~/.azure/credentials）或环境变量，导致使用的不是你预期的全局管理员账户。
• 添加-debug参数运行terraform plan，查看Terraform调用Azure API时的身份认证细节，确认权限作用范围是否覆盖目标存储账户。

2. 检查存储账户的限制配置 #

• 资源锁：确认存储账户未设置只读或删除锁，锁会阻止Terraform读取存储账户元数据。
• 防火墙/虚拟网络：如果存储账户启用了网络限制，检查Terraform运行环境的公网IP是否在允许列表中，或是否将Microsoft.StorageSync服务添加为可信服务。门户/CLI可能使用你的本地IP或可信服务身份，而Terraform运行环境（如CI/CD服务器）的IP未被授权。
• 存储层级兼容性：确保存储账户是标准层级（LRS/GRS等），Storage Sync不支持高级存储账户。

3. 升级AzureRM Provider版本 #

旧版本的AzureRM Provider可能存在API兼容性或权限检查逻辑bug，尝试升级到最新稳定版：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">= 3.80.0" # 替换为最新稳定版
    }
  }
}

执行terraform init -upgrade完成provider更新后重试。

4. 显式分配存储账户读取权限 #

即使是全局管理员，也可能因Azure RBAC的隐式权限限制导致读取失败，显式为Terraform使用的身份分配Reader角色：

az role assignment create \
  --assignee <Terraform身份ID> \
  --role "Reader" \
  --scope "/subscriptions/<订阅ID>/resourceGroups/<资源组>/providers/Microsoft.Storage/storageAccounts/<存储账户名>"

5. 验证Terraform代码中的资源引用 #

• 检查存储账户ID、名称的拼写是否正确，避免大小写或字符错误（Azure资源名不区分大小写，但Terraform的资源引用可能严格匹配）。
• 确保存储账户与Storage Sync Service处于同一订阅和区域，Storage Sync要求两者区域一致。

6. 延长创建超时时间 #

Azure内部可能存在元数据同步延迟，Terraform的默认等待时间可能不足以完成操作，在资源中添加超时配置：

resource "azurerm_storage_sync_cloud_endpoint" "cloud_endpoint" {
  name                  = "azbackup001zscallerc-file-sync-grp-CE"
  sync_group_name       = azurerm_storage_sync_group.sync_group.name
  storage_sync_service_id = azurerm_storage_sync_service.sync_service.id
  storage_account_id    = azurerm_storage_account.storage_account.id
  storage_account_share_name = "your-file-share-name"

  timeouts {
    create = "30m"
  }
}

内容的提问来源于stack exchange，提问作者Amandeep Singh