使用Terraform创建Azure Data Lake Storage全权限仍报403错误

问题场景 #

• 基于Terraform部署Azure Data Lake Storage Gen2资源，使用服务主体作为认证身份
• 已为该服务主体分配Owner、Storage Contributor、Storage Blob Data Owner、Storage Blob Data Contributor等所有存储相关的RBAC角色，部署仍执行失败

问题复现代码 #

resource "azurerm_storage_account" "syn_st" {
  name                     = "st${var.prefix}${var.postfix}"
  resource_group_name      = var.rg_name
  location                 = var.location
  account_tier             = var.storage_account_tier
  account_replication_type = var.storage_account_replication_type
  account_kind             = var.storage_account_kind
  is_hns_enabled           = var.hns_enabled
}

resource "azurerm_role_assignment" "st_role_admin_c" {
  scope                = azurerm_storage_account.syn_st.id
  role_definition_name = "Contributor"
  principal_id         = data.azurerm_client_config.current.object_id
}

resource "azurerm_role_assignment" "st_role_admin_sbdc" {
  scope                = azurerm_storage_account.syn_st.id
  role_definition_name = "Storage Blob Data Contributor"
  principal_id         = data.azurerm_client_config.current.object_id
}

resource "azurerm_storage_data_lake_gen2_filesystem" "st_adls" {
  name               = "default"
  storage_account_id = azurerm_storage_account.syn_st.id

  depends_on = [
    azurerm_role_assignment.st_role_admin_sbdc
  ]
}

运行报错 #

datalakestore.Client#GetProperties: Failure responding to request: StatusCode=403 -- Original Error: autorest/azure: error response cannot be parsed: "" error: EOF │

已确认配置 #

• 服务主体已配置存储相关全量访问权限，权限配置截图：
  

排查&修复方案 #

按优先级依次排查以下问题点：

1. RBAC角色传播延迟问题
   Terraform中azurerm_role_assignment资源创建完成仅代表Azure控制面接收了角色分配请求，不代表权限已经全局同步到存储数据面，ADLS Gen2的数据面权限同步通常需要10-60秒。仅配置depends_on无法等待权限同步完成，需要在文件系统资源前增加显式等待逻辑。使用该逻辑需要先在provider声明中引入time provider：

   terraform {
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = ">=3.0.0"
       }
       time = {
         source  = "hashicorp/time"
         version = ">=0.9.0"
       }
     }
   }
   

   新增等待资源并调整依赖：

   resource "time_sleep" "wait_for_rbac" {
     depends_on = [azurerm_role_assignment.st_role_admin_sbdc, azurerm_role_assignment.st_role_admin_c]
     create_duration = "60s"
   }
   
   resource "azurerm_storage_data_lake_gen2_filesystem" "st_adls" {
     name               = "default"
     storage_account_id = azurerm_storage_account.syn_st.id
   
     depends_on = [
       time_sleep.wait_for_rbac
     ]
   }
   

2. 存储账户网络配置校验
   检查存储账户创建时是否默认开启了公网访问限制：如果public_network_access_enabled设为禁用，或配置了虚拟网络/IP白名单但未放行Terraform运行节点的出口IP，哪怕RBAC权限配置正确，数据面请求也会被拦截，返回无响应体的403错误。可临时将public_network_access_enabled设为true、network_rules.default_action设为Allow验证是否为网络拦截问题。
3. Azurerm Provider版本校验
   低于3.0版本的azurerm provider调用ADLS Gen2数据面API时存在令牌受众配置错误，会导致鉴权失败，需升级azurerm provider到3.x以上稳定版本，且不要在provider配置中错误自定义存储鉴权相关的无效参数。
4. 角色分配主体校验
   确认data.azurerm_client_config.current.object_id获取到的确实是当前认证用服务主体的对象ID，而非Azure AD应用注册的应用ID、或其他同名的用户/组对象ID，避免角色分配到了错误的身份上。

内容的提问来源于stack exchange，提问作者asp