Azure DevOps Pipeline中Terraform无法识别已有Azure连接如何解决

AzureCLI@2 任务的Azure服务连接认证逻辑仅在任务自身的执行shell会话内生效：任务启动时会自动调用az login用服务连接完成身份认证，任务执行结束后会自动退出登录、销毁会话，所有认证相关的临时环境变量、登录态都不会透传到后续的独立脚本步骤，因此后续单独执行terraform plan时，Terraform的AzureRM提供商无法获取到有效身份凭据，抛出连接错误。

所有方案均不需要在Terraform配置文件中写入任何用户名、密码、服务主体密钥类敏感信息，符合安全要求：

方案1：将Terraform命令嵌入AzureCLI@2任务内执行（零额外配置） #

直接把Terraform相关命令写到AzureCLI@2任务的内联脚本块中，此时Terraform执行过程完全处于已完成认证的Azure CLI会话上下文内，AzureRM提供商默认支持自动识别当前Azure CLI的登录态完成鉴权，不需要额外传参。
修正后的YAML配置参考：

parameters:
  ServiceConnection:

steps:
- task: AzureCLI@2
  displayName: 'Azure CLI 操作与Terraform执行'
  inputs:
    azureSubscription: ${{ parameters.ServiceConnection }}
    scriptType: bash
    scriptLocation: inlineScript
    inlineScript: |
      # 原有前置逻辑
      echo test
      # 同一会话内直接执行Terraform命令
      terraform plan

注意：使用该方案需要提前确认Pipeline运行代理已预装对应版本的Terraform，否则会出现命令不存在的报错。

方案2：使用官方Terraform任务复用服务连接（生产场景推荐） #

如果需要保持Azure CLI前置操作和Terraform步骤的逻辑独立，可以直接使用Azure DevOps官方提供的Terraform扩展任务，直接在任务参数中绑定同一个服务连接即可，任务会自动完成身份凭据的安全注入，全程不会暴露敏感信息。
修正后的YAML配置参考：

parameters:
  ServiceConnection:

steps:
- task: AzureCLI@2
  displayName: 'Azure CLI 前置操作'
  inputs:
    azureSubscription: ${{ parameters.ServiceConnection }}
    scriptType: bash
    scriptLocation: inlineScript
    inlineScript: 'echo test'

- task: TerraformTaskV4@4
  displayName: '执行Terraform Plan'
  inputs:
    provider: 'azurerm'
    command: 'plan'
    environmentServiceNameAzureRM: ${{ parameters.ServiceConnection }}

注意：不要尝试手动导出AzureCLI@2任务内的服务主体凭据到后续步骤，这类临时凭据通常有严格的时效限制，且手动传递敏感信息会增加凭据泄露风险。

内容的提问来源于stack exchange，提问作者itye1970