Terraform Azure存储账号backend使用密钥时避免state文件误覆写方案问询

方案1：Azure AD RBAC细粒度权限控制（最推荐） #

• 首先在存储账户配置中禁用Shared Key访问，强制所有访问请求走Azure AD身份验证，从根源避免全权限密钥泄露导致的安全风险
• 针对每个服务对应的Service Principal，单独分配存储Blob数据贡献者权限，权限范围精确匹配该服务state文件存放的虚拟文件夹路径（如tfstate-container/prod/service-a/），禁止授予整个容器、存储账户级别的权限
• 配置Terraform后端时开启Azure AD认证参数，无需传入存储账户密钥，示例配置如下：

terraform {
  backend "azurerm" {
    resource_group_name  = "rg-terraform-state"
    storage_account_name = "sttfstatecne2prod"
    container_name       = "tfstate"
    key                  = "prod/service-a/terraform.tfstate"
    use_azuread_auth     = true
  }
}

该方案下Service Principal仅能读写自己权限范围内的路径文件，完全无法访问其他服务的state路径，从底层杜绝跨服务误覆写的可能。

方案2：SAS令牌路径级授权（适用于暂无法禁用Shared Key的场景） #

• 不为Service Principal分配存储账户全权限密钥，而是针对每个服务的state文件夹路径，生成专属的限时SAS令牌，仅授予读、写、列权限
• 不同服务使用各自的SAS令牌访问state，无法越权操作其他路径的文件

兜底防护配置 #

• 为存储state的Blob容器开启软删除、版本控制功能，即使出现误操作也可以快速回滚到历史state版本
• 开启Blob immutable存储策略，对已提交的state版本设置固定的不可修改保留周期，避免意外删除或篡改
• 保持Terraform默认开启的Blob状态锁功能，避免同一时间多个进程并发修改同一份state文件导致的损坏

附加校验措施 #

在CI/CD流水线中增加预校验步骤，校验当前运行身份的Service Principal ID与要操作的state路径所属的服务身份匹配，避免配置引用错误导致的误写。

内容的提问来源于stack exchange，提问作者JakeUT