Terraform创建Azure策略集定义提示无Microsoft.Authorization写入权限如何解决

1. 修正策略集定义的绑定范围 #

你当前代码中的azurerm_policy_set_definition资源没有显式指定创建范围，默认会绑定Terraform AzureRM Provider上下文默认的订阅，和你预期的新创建EA订阅不匹配，是最常见的报错原因。需要在资源中新增subscription_id参数，显式绑定到目标EA订阅：

resource "azurerm_policy_set_definition" "tag_definition" {
  name         = "${var.subscription_name}-tag-def"
  display_name = "${var.subscription_name}-tag-def"
  description  = "Append the default tags definition"
  policy_type  = "Custom"
  # 新增行：指定策略集创建在目标EA订阅下
  subscription_id = data.azurerm_subscriptions.availablesubscriptions.subscriptions[0].subscription_id
  policy_definitions = templatefile("${path.module}/templates/tag_definitions.json",
  { environmentType = var.environment_Type})
  
  metadata = <<METADATA
    { "category" : "Tags" }
  METADATA
  lifecycle { ignore_changes = [metadata] }
}

2. 验证权限配置有效性 #

• 权限授予存在1-15分钟的延迟，如果你是刚给服务主体分配Owner权限，先刷新Azure DevOps服务连接的凭据，重新执行流水线验证。
• 到目标EA订阅的「访问控制(IAM)」页面，搜索报错信息中给出的服务主体对象ID，确认该主体确实被授予了订阅级别的Owner权限，没有被继承的拒绝分配覆盖权限。
• 检查租户级是否配置了管理组层面的拒绝策略，阻止了Microsoft.Authorization/policySetDefinitions/write操作，该类拒绝策略优先级高于Owner权限，需要单独为服务主体排除限制。

3. 检查Provider上下文配置 #

确认你的AzureRM Provider配置中没有硬编码其他订阅ID、租户ID，避免操作的目标订阅和预期的新EA订阅不一致，导致服务主体在错误的订阅范围内没有操作权限。

4. 本地权限验证 #

你可以用服务主体的凭据本地登陆Azure CLI，手动执行操作验证权限是否正常：

# 服务主体登陆
az login --service-principal -u <服务主体客户端ID> -p <客户端密钥> --tenant <租户ID>
# 切换到目标EA订阅
az account set --subscription <新EA订阅ID>
# 测试创建策略集定义
az policy set-definition create --name test-policy-set --display-name "test" --definitions "[]"

如果命令执行成功说明权限配置无问题，问题出在Terraform代码或流水线配置；如果仍报403则回到权限配置环节重新排查。

内容的提问来源于stack exchange，提问作者Pradeep