Azure DevOps流水线中Terraform执行AKS角色分配报403错误如何解决？

你遇到的403错误本质是Azure DevOps流水线使用的Matt Local Service Connection对应的Azure服务主体（错误信息中给出的object id为626eac40-c9dd-44cc-a528-3c3d3e069e85），没有在目标ACR的scope下执行角色分配写入操作的权限，也就是缺少Microsoft.Authorization/roleAssignments/write权限。

• 首先确认服务主体身份：你可以直接使用错误信息中给出的服务主体ID，也可以进入Azure DevOps项目的「项目设置 - 服务连接」页面，找到Matt Local Service Connection，点击「管理服务主体」跳转至Azure portal查看对应应用ID。
• 为服务主体分配权限，推荐使用最小权限原则：
  进入Azure portal找到你的ACR资源aksmattcloudgurutest，在「访问控制(IAM)」页面，点击「添加角色分配」，为上述服务主体分配 用户访问管理员 角色，该角色默认包含创建角色分配的权限，同时不会授予多余的操作权限。
  如果是测试环境需要简化配置，也可以在ACR所在的资源组myaks-rg或订阅范围下分配「贡献者」或「所有者」角色，但该配置权限过大，不建议生产环境使用。
• 权限配置完成后等待1-2分钟等待Azure权限同步完成，再重新触发流水线运行即可。如果仍然报错可以尝试重新生成服务连接的凭据后再次运行。

你当前Terraform配置中data "azurerm_container_registry" "this"的depends_on配置属于冗余项，azurerm_role_assignment资源已经隐式依赖AKS和ACR两个资源，你可以删除该depends_on配置，不会影响部署逻辑。

内容的提问来源于stack exchange，提问作者Konzy262