如何在Azure中为Service Principal分配Global Administrator角色？

你遇到的问题核心是：全局管理员（Global Administrator）是Azure Active Directory（AAD）的租户级内置角色，而azurerm_role_assignment资源仅用于管理Azure资源管理器（ARM）的资源级/订阅级角色，无法直接用来分配AAD租户角色。

正确的做法是使用AzureAD Provider的azuread_directory_role_assignment资源完成操作，具体步骤如下：

1. 配置AzureAD Provider（若未配置） #

确保Terraform配置中引入并配置AzureAD Provider：

terraform {
  required_providers {
    azuread = {
      source  = "hashicorp/azuread"
      version = "~> 2.40.0" # 选择适配的版本
    }
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 3.0"
    }
  }
}

provider "azuread" {
  # 根据你的环境选择认证方式，例如通过Azure CLI自动认证
}

2. 获取全局管理员角色ID #

全局管理员是AAD内置角色，需通过数据源获取其对象ID：

data "azuread_directory_role" "global_admin" {
  display_name = "Global Administrator"
}

3. 为服务主体分配角色 #

使用azuread_directory_role_assignment资源完成角色分配：

resource "azuread_directory_role_assignment" "sp_global_admin" {
  directory_role_id = data.azuread_directory_role.global_admin.object_id
  principal_id      = azuread_service_principal.sp-tenant-global-admin.object_id
}

重要注意事项 #

• 执行该配置的Terraform操作者必须拥有AAD全局管理员权限，或具备分配全局管理员角色的权限。
• 全局管理员是Azure租户的最高权限角色，分配时需严格控制，避免过度授权。

内容的提问来源于stack exchange，提问作者One Developer