允许本地执行Terraform Plan/Import的Azure最小权限角色问询

核心权限需求拆解 #

要支持本地执行terraform plan和terraform import，同时管控风险，需要满足以下权限要求：

• 读取绝大多数Azure资源的配置信息（包括Reader权限无法覆盖的函数应用设置、密钥保管库机密、角色分配数据）
• 仅需资源导入权限（无资源修改/创建权限，避免误操作风险）
• 支持Terraform校验资源依赖与状态的读取权限

推荐的最小角色组合 #

以下角色组合可覆盖绝大多数资源的导入与计划校验需求，且权限范围最小、风险可控：

• Reader：基础角色，覆盖所有Azure资源的元数据、常规配置读取权限，是核心基础权限
• Role Based Access Control Reader：允许读取订阅/资源组范围内的角色分配信息，解决Reader权限无法查看RBAC配置的问题，满足Terraform处理角色分配资源的需求
• Key Vault Secrets User：允许读取密钥保管库中的机密内容，支持Terraform导入依赖密钥保管库机密的资源（如函数应用连接字符串、应用设置）
• Function App Reader：针对性读取函数应用的应用设置、配置数据，弥补Reader角色在函数应用内部配置访问上的不足

关键注意事项 #

• 按需添加细粒度角色：针对特殊资源类型（如存储Blob、Cosmos DB数据），可补充对应只读角色（如Storage Blob Data Reader），避免过度授权
• 严格规避高权限角色：禁止使用Contributor、Owner等具备修改权限的角色，确保仅拥有只读/导入所需权限
• 强化访问管控：通过Azure AD条件访问策略限制角色使用范围（如仅允许指定IP、合规设备），进一步降低未授权操作风险
• 导入操作无修改风险：terraform import仅将现有资源纳入Terraform状态管理，不会改变资源的实际配置，即使拥有上述权限也不会破坏现有资源

内容的提问来源于stack exchange，提问作者Jan Hudec