运行terraform apply部署Azure存储资源时报403授权错误如何解决？

两类403错误本质都是执行terraform apply的身份（Azure AD用户/服务主体）缺少操作存储资源的合法权限，常见触发场景如下：

• 仅给身份分配了订阅/资源组层面的Contributor/Owner角色：这类是Azure控制层面权限，默认没有存储数据层面（容器、文件系统的读写查询）的操作权限
• 存储账户防火墙限制了访问来源，执行terraform的机器IP不在白名单范围内
• 旧版AzureRM provider存在ADLS Gen2存储账户的认证逻辑bug
• 若配置了客户管理密钥（CMK），身份缺少对应Key Vault的密钥操作权限
• 存储账户启用了仅Azure AD授权，身份没有对应存储数据类RBAC角色

1. 先确认当前执行terraform的Azure身份，执行命令：
   az account show
   核对输出的user/id字段，确认你用的身份和预期一致。

2. 检查存储账户的RBAC角色分配
   进入对应存储账户的访问控制(IAM) > 角色分配页面，给上述身份分配以下任意角色：

• 存储Blob数据参与者（满足常规创建、查询容器/文件系统的需求）
• 存储Blob数据所有者（如果需要配置数据层面权限）

3. 验证存储账户网络配置
   进入存储账户的网络 > 防火墙和虚拟网络页面：

• 若选择的是选定的虚拟网络和IP地址，请把执行terraform机器的公网IP添加到白名单
• 若是在Azure流水线等托管服务中执行，请开启允许受信任的Azure服务访问此存储账户选项
• 临时验证可以先切到启用从所有网络访问，看报错是否消失，排除网络问题。

4. 升级AzureRM provider版本
   旧版azurerm provider（低于3.0版本）对启用HNS的ADLS Gen2存储账户认证有已知bug，建议升级到稳定的3.x版本，在providers配置中添加版本约束：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">=3.80.0"
    }
  }
}

修改后执行terraform init -upgrade完成provider升级，再重新apply验证。

5. （配置了CMK的场景）检查Key Vault权限
   如果存储账户用了客户管理密钥加密，需要给执行身份在对应Key Vault中分配以下权限：

• 若用访问策略：添加获取、包装密钥、解包密钥的密钥权限
• 若用Azure RBAC：分配Key Vault 加密用户角色

6. 跨工具验证权限
   用当前登录的az cli直接执行查询命令，排除terraform本身配置问题：

• 普通存储容器：az storage container show --name <你的容器名> --account-name <存储账户名> --auth-mode login
• ADLS Gen2文件系统：az storage fs show --name <文件系统名> --account-name <存储账户名> --auth-mode login
  如果上述命令也报403，说明是Azure侧权限配置问题，和terraform无关；如果命令执行成功，再排查terraform配置的provider认证逻辑是否和当前az cli身份一致。

内容的提问来源于stack exchange，提问作者SANDEEP KUMAR