Terraform中azurerm_resource_group数据源无object_id属性的问题

API 探路者

2026-8-15

Terraform Azure角色分配报错：azurerm_resource_group无object_id导出属性

问题原因

你遇到的报错核心原因是：Azure资源组不是安全主体（Security Principal），azurerm_resource_group数据源根本没有导出object_id属性。角色分配的principal_id必须指向用户、服务主体、Azure AD组、托管标识这类具备身份权限的安全主体，资源组作为资源容器，无法直接作为权限持有主体。

你的需求“允许资源组对静态IP拥有Contributor权限”存在概念偏差——资源组本身不能拥有权限，需要指定关联到该资源组的具体安全主体来持有这个权限。

修正方案

根据常见业务场景，提供两种可行的修正方式：

场景1：给AKS集群的托管标识分配权限

如果静态IP是给AKS集群的Ingress组件使用，通常需要让AKS的kubelet托管标识拥有IP的管理权限：

# 先获取目标AKS集群的数据源
data "azurerm_kubernetes_cluster" "aks_cluster" {
  name                = "your-aks-cluster-name" # 替换为你的AKS集群名称
  resource_group_name = data.azurerm_resource_group.rg_aks.name
}

# 修正后的角色分配配置
resource "azurerm_role_assignment" "public_ip_role" {
  scope                = azurerm_public_ip.ingress_nginx.id
  role_definition_name = "Contributor"
  principal_id         = data.azurerm_kubernetes_cluster.aks_cluster.kubelet_identity.object_id
}

场景2：给Azure AD组分配权限

如果是要让管理该资源组的团队拥有静态IP的操作权限，可指定对应的Azure AD组作为权限主体：

# 获取目标Azure AD组的数据源
data "azurerm_aad_group" "rg_manage_group" {
  display_name     = "AKS-Resource-Group-Managers" # 替换为你的AD组名称
  security_enabled = true
}

# 修正后的角色分配配置
resource "azurerm_role_assignment" "public_ip_role" {
  scope                = azurerm_public_ip.ingress_nginx.id
  role_definition_name = "Contributor"
  principal_id         = data.azurerm_aad_group.rg_manage_group.object_id
}