使用Terraform AzureRM Provider遇AADSTS530003设备认证错误求助

问题背景 #

此前使用AzureRM Terraform Provider连接Azure正常，8月10日起执行terraform plan时触发以下错误：

Error: building account: getting authenticated object ID: parsing json result from the Azure CLI: waiting for the Azure CLI: exit status 1: ERROR: AADSTS530003: Your device is required to be managed to access this resource.
To re-authenticate, please run:
az login --scope https://graph.microsoft.com//.default

执行指定az login命令后浏览器显示登录成功但无法访问资源，且IT部门不支持设备/浏览器管理操作。当前环境：Terraform v1.0.8、AzureRM v2.93.1，普通az login/az account show命令正常，Provider配置如下：

provider "azurerm" {
  features {}

  subscription_id            = "XXXXXX-XXXXXX-XXXXXX-XXXXXX"
  skip_provider_registration = true
}

核心原因 #

AzureRM Provider在获取认证对象ID时需要访问Microsoft Graph API，而你的设备未加入企业设备管理，触发了Azure AD的条件访问策略（要求设备必须被管理才能访问Graph资源）。普通az login仅请求Azure资源的权限，不涉及Graph，因此可以正常执行。

解决方案 #

方案1：使用服务主体认证（推荐） #

服务主体是Azure AD中的应用身份，不受设备管理限制，可直接用于Terraform认证：

1. 创建服务主体并获取认证信息：

   az ad sp create-for-rbac --name "terraform-sp" --role Contributor --scopes /subscriptions/你的订阅ID
   

   执行后会返回appId（即client_id）、password（即client_secret）、tenant（即tenant_id），请妥善保存。

2. 修改Terraform Provider配置，添加服务主体参数：

   provider "azurerm" {
     features {}
   
     subscription_id            = "XXXXXX-XXXXXX-XXXXXX-XXXXXX"
     skip_provider_registration = true
     client_id                  = "服务主体appId"
     client_secret              = "服务主体password"
     tenant_id                  = "服务主体tenant"
   }
   

3. 验证配置：执行terraform init重新初始化，再运行terraform plan确认认证正常。

方案2：通过环境变量传递认证信息 #

若不想硬编码服务主体信息，可通过环境变量传递：

export ARM_CLIENT_ID="服务主体appId"
export ARM_CLIENT_SECRET="服务主体password"
export ARM_TENANT_ID="服务主体tenant"
export ARM_SUBSCRIPTION_ID="你的订阅ID"

之后直接执行Terraform命令即可，无需修改Provider配置。

方案3：请求IT调整条件访问策略（可选） #

若必须使用用户账号认证，可向IT部门申请调整Azure AD条件访问策略，允许你的设备访问Microsoft Graph资源。但根据你的描述，此方案不可行，故优先使用服务主体。

额外说明 #

• 确保服务主体拥有足够的权限（如Contributor），否则会出现资源操作权限不足的错误。
• 若使用服务主体后仍有问题，可检查AzureRM Provider版本，考虑升级至2.93.1之后的兼容版本（但当前版本已支持服务主体认证，无需强制升级）。

内容的提问来源于stack exchange，提问作者Joost Döbken