Terraform能否管理AD Connect同步至AzureAD的本地AD资源？

结论：完全不可行。
标记为directory-synced的目录对象权威管控源为本地Active Directory，所有属性修改、删除等写操作仅能在本地AD侧执行，经AD Connect同步链路同步至Azure AD。包括Azure门户、Graph API、Terraform在内的所有云侧管控通道，都不具备这类对象的写权限，操作中返回的400报错就是云侧权限边界拦截导致的，和Terraform操作流程无关。
报错信息中提到的currently undergoing migration对应两类场景：一是对象正处于跨租户迁移流程，二是AD Connect正在执行该对象的同步写入任务，两类场景下云侧都会临时锁死对象写权限；该场景下的报错属于本地主控对象的永久写拦截，不属于临时迁移状态问题。

• 停止通过azuread_user/azuread_group等可写资源类型管理同步来源对象，不要在Terraform中对这类对象执行属性修改、删除操作，这类请求必然被Azure AD接口拦截
• 后续如果需要在Terraform配置中引用同步来源的用户、组元数据（比如做权限绑定、成员关联），统一使用data "azuread_user"/data "azuread_group"数据源方式只读获取对象属性，不会触发写操作报错
• 如果需要对这部分同步来源资源实现IaC全生命周期管理，需在本地AD侧部署对应Terraform Active Directory provider，在本地侧完成资源的增删改查操作，再通过原有AD Connect链路同步到Azure AD，不要反向在云侧修改同步对象。

该场景完全可实现，核心规则是成员关系的写权限与组本身的权威源绑定，只要不跨权威源执行写操作就不会触发冲突：

• 对于Terraform创建的云原生用户组：直接通过azuread_group_member资源维护成员列表即可，支持同时添加Terraform管理的云原生用户、通过数据源读取到的本地同步来源用户/对象，这类组的权威源是Azure AD，云侧成员修改不受同步规则限制
• 对于本地AD同步到Azure AD的用户组：不要在Terraform侧修改这类组的成员列表，这类组的成员关系权威源归属本地AD，需在本地AD侧完成成员维护后经AD Connect同步到云，Terraform侧仅通过数据源读取这类组的ID，用于角色分配、权限绑定等只读引用场景即可
• 通用边界规则：所有写操作（属性修改、删除、成员变更）必须在对象的权威源侧执行，非权威源侧仅做只读引用，混合资源场景不存在管控冲突。

内容的提问来源于stack exchange，提问作者AirUp