如何用Terraform为Azure用户分配身份授予存储账户读取权限并排查403错误

数据老陈

2026-10-4

问题排查与修复方案

1. 核心报错原因：执行身份缺少角色分配权限

你当前用来执行Terraform的服务主体，虽然可以创建基础设施，但默认没有分配Azure RBAC角色的权限：

Azure内置的Contributor角色仅支持创建/修改资源，不具备Microsoft.Authorization/roleAssignments/write操作权限
你需要给这个服务主体授予目标范围（你配置里的资源组，或者更精确的存储账户范围）下的Owner或User Access Administrator角色，才能完成角色分配操作

2. 配置逻辑优化（匹配你的需求）

你当前的配置是给用户分配身份授予整个资源组范围的角色权限，不符合你"仅授予现有存储账户读取权限"的需求，建议优化配置如下：

第一步：引入现有存储账户（如果是当前Terraform代码外创建的）

data "azurerm_storage_account" "target" {
  name                = "你的现有存储账户名"
  resource_group_name = "存储账户所属资源组名"
}

第二步：用数据源查询内置存储读取角色，避免硬写ID出错

data "azurerm_role_definition" "storage_reader" {
  # 如果你是要读存储账户本身的配置而非Blob数据，换成"Reader"即可
  name = "Storage Blob Data Reader"
}

第三步：修正角色分配配置，缩小权限范围到存储账户

resource "azurerm_user_assigned_identity" "user_assigned_identity" {
  name                = "${var.resource_prefix}useridentity"
  location            = var.location
  resource_group_name = var.resource_group_name
}

resource "azurerm_role_assignment" "storage_read" {
  scope              = data.azurerm_storage_account.target.id # 仅限定在目标存储账户范围
  role_definition_id = data.azurerm_role_definition.storage_reader.id
  principal_id       = azurerm_user_assigned_identity.user_assigned_identity.principal_id
}