Terraform服务主体认证下azurerm_role_assignment角色分配403错误求助

• 你配置中client_id对应的Azure服务主体，仅持有网络资源操作类权限（例如Network Contributor），该角色默认不包含Microsoft.Authorization/roleAssignments/write（角色分配写入）操作权限
• Azure平台中，角色分配属于授权管理类操作，和VNet、子网等网络资源的创建权限相互独立，即使服务主体可以正常创建网络资源，也不代表具备角色分配权限
• 你本地az login时使用的个人账号默认持有Owner或用户访问管理员权限，因此可以正常执行角色分配操作

根据你的权限管控需求，任选以下一种方案即可：

方案1（权限范围最小，推荐）：授予服务主体目标VNet范围的「用户访问管理员」角色 #

该角色是Azure内置的专有权限管理角色，仅包含权限分配相关操作权限，不会额外开放其他资源操作权限，安全等级更高。
操作步骤：

• 用持有订阅/资源组Owner权限的账号登录Azure门户，进入目标VNet的「访问控制(IAM)」页面
• 点击「添加」→「添加角色分配」
• 角色列表选择「用户访问管理员」，点击下一步
• 成员页面选择「服务主体」，搜索你配置中client_id对应的服务主体名称，添加为成员
• 点击「审核+分配」完成配置，等待1-2分钟权限生效后重新执行Terraform代码即可

方案2：授予服务主体目标VNet范围的「所有者」角色 #

如果你的服务主体需要同时负责资源管理和权限分配，可以直接授予Owner角色，该角色默认包含所有资源的全量操作权限，也包含角色分配权限。操作步骤和方案1一致，仅在选择角色时选择「所有者」即可。

如果配置权限后仍报错，请检查以下两点：

• 确认你配置的VNet scope路径完全正确，无订阅ID、资源组名、VNet名拼写错误
• 确认你使用的服务主体凭证未过期，权限生效后可重新执行terraform init刷新provider认证状态

内容的提问来源于stack exchange，提问作者Sasi