添加azurerm后端后terraform init报404：资源组存在却找不到

你遇到的问题是：在main.tf中添加backend "azurerm"配置后，执行terraform init时返回404错误，提示存储状态文件的资源组不存在，但该资源组实际已创建；已通过Az PowerShell切换到正确的租户和订阅，能正常查询到资源组，未配置backend前资源创建正常。

你的main.tf配置如下：

## Terraform Configuration
terraform {
  # Azure Remote State
  backend "azurerm" {
    resource_group_name  = "abc-uat-tfstate"
    storage_account_name = "abcuattfstate"
    container_name       = "tfstate"
    key                  = "myapp.uat.tfstate"
  }
  # Provider Dependencies
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 3.0.0"
    }
  }
}
## Provider Configurations
# Azure
provider "azurerm" {
  subscription_id = var.subscriptionId
  features {}
}
...

以下是几个排查方向和解决办法：

• 后端配置与Provider的订阅不一致
  Terraform的backend配置和azurerm provider的认证是相互独立的。你在provider里指定了subscription_id = var.subscriptionId，但backend没有显式指定订阅，它会使用当前Azure凭据的默认订阅，可能和provider指定的不是同一个。
  解决：在backend配置中添加subscription_id字段，和provider使用同一个变量：

  backend "azurerm" {
    resource_group_name  = "abc-uat-tfstate"
    storage_account_name = "abcuattfstate"
    container_name       = "tfstate"
    key                  = "myapp.uat.tfstate"
    subscription_id      = var.subscriptionId # 新增这行
  }
  

  另外也可以检查Azure CLI的当前订阅，执行az account show，如果不对就用az account set --subscription <你的订阅ID>切换。

• 存储账户不存在或拼写错误
  资源组存在不代表存储账户一定存在，而且存储账户名称是全局唯一的，只能包含小写字母和数字，长度3-24位。你可以用PowerShell验证：

  Get-AzStorageAccount -ResourceGroupName abc-uat-tfstate
  

  如果返回结果里没有abcuattfstate这个存储账户，需要先创建它；如果名称拼写错误，修正backend里的storage_account_name。

• 凭据权限不足（伪装成404）
  有时候Azure权限不足时会返回404错误，而不是权限错误。检查当前登录的账号是否对该资源组或存储账户有Storage Blob Data Contributor或Contributor权限。如果没有，需要在Azure门户给账号添加对应的权限。

• 清理Terraform缓存和重新认证
  尝试清理Terraform本地缓存，重新登录Azure：

  1. 删除项目根目录下的.terraform文件夹和.terraform.lock.hcl文件
  2. 执行az logout退出当前登录，再az login重新选择正确的租户和订阅
  3. 重新执行terraform init

内容的提问来源于stack exchange，提问作者Aaron