Terraform为服务主体分配Global Reader角色失败，咨询权限分配范围

核心区别 #

• Azure RBAC角色：负责管理Azure资源权限，生效范围覆盖订阅、资源组或单个资源，对应Terraform的azurerm_role_assignment资源。
• Azure AD目录角色：负责管理Azure AD租户级权限（比如Global Reader、全局管理员），生效范围是整个AD租户，需要使用Terraform的azurerm_directory_role_assignment资源来分配。

报错原因 #

你用azurerm_role_assignment尝试分配的Global Reader是Azure AD目录角色，不属于RBAC角色范畴，因此这个资源无法找到对应的角色定义，导致报错。

正确实现方式 #

要给服务主体分配Global Reader这类AD目录角色，需使用azurerm_directory_role_assignment资源，示例代码如下：

# 先获取Global Reader目录角色的ID（目录角色无法直接通过名称引用）
data "azurerm_directory_role" "global_reader" {
  display_name = "Global Reader"
}

# 给目标服务主体分配Global Reader角色
resource "azurerm_directory_role_assignment" "global_reader_assignment" {
  directory_role_id = data.azurerm_directory_role.global_reader.id
  principal_id      = azurerm_service_principal.your_sp.id # 替换为你的服务主体ID
}

补充说明 #

服务主体既可以被分配RBAC角色（管理资源），也可以被分配AD目录角色（管理租户），只需对应正确的Terraform资源即可，不要混淆使用。

内容的提问来源于stack exchange，提问作者Daemon