Terraform Azure Provider：如何管理Azure AD身份访问？能否管理用户组及操作？

嘿，这个问题问到点子上了！Terraform的azuread Provider确实能帮你全面管理Azure AD的身份与访问管理，包括你提到的用户、组，以及MFA、各类配置细节这些需求。我来给你详细拆解：

首先你需要在Terraform配置中引入专门的azuread Provider（它和azurerm Provider分开，更专注于AD身份管理），并确保你使用的服务主体拥有足够的Azure AD权限——比如User Administrator（管理用户）、Group Administrator（管理组）、Authentication Administrator（管理MFA和认证方式）等角色。

示例初始化配置：

terraform {
  required_providers {
    azuread = {
      source  = "hashicorp/azuread"
      version = "~> 2.40.0"
    }
  }
}

provider "azuread" {
  # 可以通过环境变量、服务主体密钥或Azure CLI认证
  # 推荐用Azure CLI在本地调试，生产用服务主体
}

Terraform支持创建、更新、删除用户，并且能配置你提到的几乎所有用户相关细节：

1. 创建普通/来宾用户 #

你可以指定用户类型（Member/Guest）、密码策略、账户状态等：

resource "azuread_user" "internal_member" {
  user_principal_name = "john.doe@example.com"
  display_name        = "John Doe"
  password_profile {
    password = "P@ssw0rd123!"
    force_change_password_next_sign_in = true
  }
  account_enabled = true
  user_type       = "Member"
}

# 邀请外部来宾用户
resource "azuread_invitation" "external_guest" {
  user_email_address = "jane.smith@external.com"
  redirect_url       = "https://myapp.example.com"
  message {
    body    = "欢迎加入我们的团队，请点击链接完成注册！"
    subject = "Azure AD 来宾账户邀请"
  }
}

2. 配置MFA与认证方式 #

通过azuread_user_authentication_method系列资源，你可以为用户配置多种MFA/认证方式，比如微软Authenticator、短信、硬件密钥等：

# 为用户添加微软Authenticator应用作为MFA方式
resource "azuread_user_authentication_method_microsoft_authenticator" "john_mfa" {
  user_id = azuread_user.internal_member.id
  device_tag = "work-device"
}

# 添加短信认证方式
resource "azuread_user_authentication_method_phone" "john_sms" {
  user_id = azuread_user.internal_member.id
  phone_number = "+1234567890"
  phone_type   = "mobile"
}

3. 用户级设置 #

你还能控制用户的核心配置：

• 强制首次登录改密码：force_change_password_next_sign_in = true
• 禁用账户：account_enabled = false
• 配置用户通知：通过azuread_invitation自定义邀请邮件，或在用户资源中指定mail属性接收系统通知

从静态组到动态组，再到组级配置，Terraform都能覆盖：

1. 创建静态安全组/Office 365组 #

resource "azuread_group" "engineering_team" {
  display_name     = "Engineering Team"
  security_enabled = true
  mail_enabled     = false
  description      = "公司工程部门成员组"
}

# 为组添加成员
resource "azuread_group_member" "john_in_engineering" {
  group_object_id = azuread_group.engineering_team.id
  member_object_id = azuread_user.internal_member.id
}

2. 动态组（基于规则自动添加成员） #

resource "azuread_dynamic_group" "remote_workers" {
  display_name     = "Remote Workers"
  security_enabled = true
  membership_rule  = "user.department -eq 'Remote'"
  membership_rule_processing_state = "On"
}

3. 组全局设置 #

通过azuread_group_settings配置组织级的组规则，比如命名策略、阻止敏感词：

resource "azuread_group_settings" "org_group_settings" {
  directory_id = data.azuread_client_config.current.directory_id
  settings {
    name  = "PrefixSuffixNamingRequirement"
    value = "ENG-GroupName-DEPT"
  }
  settings {
    name  = "BlockedWordsList"
    value = "Admin,Root,Test"
  }
}

你可以管理设备注册规则和已注册设备：

# 配置设备注册策略，比如要求MFA注册设备
resource "azuread_device_registration_policy" "org_device_policy" {
  allowed_to_join {
    users = true
    groups = [azuread_group.engineering_team.id]
  }
  requires_mfa = true
}

# 管理已注册的设备
resource "azuread_device" "john_work_laptop" {
  display_name = "John's Work Laptop"
  enabled      = true
  user_id      = azuread_user.internal_member.id
}

• 权限控制：确保Terraform使用的服务主体拥有对应AD角色，避免权限不足导致配置失败
• 状态安全：Terraform状态文件会存储敏感信息（比如用户密码哈希），务必加密存储（比如用Terraform Cloud、Azure Blob存储加密）
• 全局配置限制：部分全局策略（比如密码复杂度、账户锁定）需要用azuread_password_policy等全局资源配置，而非单个用户资源

内容的提问来源于stack exchange，提问作者Omer Shliva