Terraform Azure Key Vault Secret依赖access_policy报403问题

• depends_on 仅控制apply阶段的资源创建、更新、销毁顺序，不会干预plan/refresh阶段的资源状态读取逻辑。Terraform执行plan前会并行拉取state中所有已存在资源的当前状态，这个阶段不会按依赖顺序先创建或更新访问策略，只要执行命令的身份没有Key Vault机密读取权限，拉取secret状态时就会直接返回403，这也是加了depends_on、甚至把access_policy内嵌到Key Vault资源块里都没用的核心原因。你本人运行正常是因为你的账号本身已经在Key Vault里有对应权限，刷新状态时能正常读secret，其他开发者没有提前配置权限，就会在刷新阶段直接报错。
• 访问策略授权对象配置错误：代码注释明确标注access_policy绑定的是你本人的AAD对象ID，其他开发者执行脚本时，策略授权对象还是你自己，不会给当前执行命令的其他开发者授权，自然会报权限不足。
• Azure Key Vault的权限配置存在最长60秒的传播延迟，就算策略配置正确，刚写完立刻读取secret也可能偶发403。

• 修正访问策略授权范围：团队开发场景不要给单个用户单独授权，优先绑定团队共同所属的AAD安全组对象ID，所有团队成员默认继承组权限，避免每个开发者跑脚本都要单独加权限。如果需要给当前执行脚本的身份动态授权，不要硬编码你自己的oid，保持object_id = data.azurerm_client_config.current.object_id的动态取值配置即可。
• 调整首次部署流程，避开状态刷新提前读资源的问题：
  1. 首次部署时先单独下发Key Vault和访问策略资源，执行命令：terraform apply -target=azurerm_key_vault.kv -target=azurerm_key_vault_access_policy.user
  2. 等待1分钟让Key Vault权限完全传播生效
  3. 再执行全量terraform apply部署secret及剩余资源，后续正常执行plan/apply就不会再触发403错误
• 增加权限等待校验，避免传播延迟导致的报错，在secret资源块中增加生命周期前置检查：

resource "azurerm_key_vault_secret" "secret" {
  name         = "secretname"
  value        = "secretvalue"
  key_vault_id = azurerm_key_vault.kv.id

  depends_on = [azurerm_key_vault_access_policy.user]

  lifecycle {
    precondition {
      condition     = timecmp(timestamp(), timeadd(azurerm_key_vault_access_policy.user.creation_time, "60s")) > 0
      error_message = "Key Vault访问策略权限未完全生效，请1分钟后重试"
    }
  }
}

• 额外校验项：检查Key Vault是否开启了RBAC授权模式，如果配置了rbac_authorization_enabled = true，所有access_policy配置都不会生效，需要给对应用户/组分配Key Vault Secrets User等对应RBAC角色才能读取机密。

内容的提问来源于stack exchange，提问作者ErikR