Terraform local-exec配置Azure恢复服务保管库本地冗余存储失效问题咨询

当前使用Terraform 0.15、Azurerm 2.40.0版本，因版本内azurerm_recovery_services_vault资源未开放存储复制类型为LocallyRedundant的原生配置能力，计划通过部署完成后的local-exec provisioner调用PowerShell命令完成属性设置，目前存在「命令手动执行可正常生效、放入provisioner执行不生效」的异常。

核心排查方向 #

• 执行上下文权限匹配问题：local-exec直接复用运行terraform apply进程的账号权限，手动执行PowerShell时使用的账号通常和Terraform执行时的登录账号不一致，若Terraform使用服务主体、低权限账号完成Azure身份验证，存在无权限修改RSV备份属性、命令静默失败无返回的可能。
• PowerShell会话上下文缺失：Az PowerShell的Set-AzRecoveryServicesBackupProperty命令依赖有效Vault会话上下文，手动执行时可能因过往操作残留了对应Vault的上下文配置导致执行成功，provisioner启动的是全新无配置的PowerShell会话，无对应上下文时管道传参的Vault对象会被跳过执行，不抛出显性报错。
• 命令解析断链问题：当前配置的interpreter未做非交互配置，Terraform对带管道符的长命令存在解析截断风险，可能导致PowerShell仅执行了Get-AzRecoveryServicesVault的查询逻辑，后续修改配置的命令未被传入执行。
• 资源初始化时序问题：provisioner在Azure资源刚创建完成的瞬时触发执行，此时RSV底层服务未完成初始化、修改配置的接口未开放，服务端会直接拒绝配置修改请求，因未配置错误捕获，无法识别这类服务端返回的错误。

可落地解决方案 #

• 优化PowerShell命令逻辑，去掉管道传参依赖：显式传递Vault的资源组参数，避免管道传参识别失效的问题，参考命令：

  Set-AzRecoveryServicesBackupProperty -Vault (Get-AzRecoveryServicesVault -Name ${azurerm_recovery_services_vault.RSV.name} -ResourceGroupName ${azurerm_recovery_services_vault.RSV.resource_group_name}) -BackupStorageRedundancy LocallyRedundant
  

  注意：必须在Get命令中增加资源组参数，否则存在跨资源组、跨区域匹配到同名RSV对象的风险。
• 修正provisioner解释器配置：增加非交互、无配置文件加载的参数，避免上下文偏差，参考配置：

  provisioner "local-exec" {
    interpreter = ["powershell.exe", "-NoProfile", "-NonInteractive", "-Command"]
    command = "上述优化后的PowerShell命令"
  }
  

• 增加带错误捕获的重试逻辑：匹配RSV的初始化延迟，循环执行配置命令直到成功，最长等待时间匹配服务初始化周期，参考命令逻辑：

  $retryCount = 0
  $maxRetry = 10
  do {
    try {
      $vault = Get-AzRecoveryServicesVault -Name ${azurerm_recovery_services_vault.RSV.name} -ResourceGroupName ${azurerm_recovery_services_vault.RSV.resource_group_name}
      Set-AzRecoveryServicesBackupProperty -Vault $vault -BackupStorageRedundancy LocallyRedundant -ErrorAction Stop
      Write-Host "Successfully configured RSV storage redundancy"
      exit 0
    }
    catch {
      $retryCount++
      Write-Host "Attempt ${retryCount} failed, retry in 30s. Error: $_"
      Start-Sleep -Seconds 30
    }
  } while ($retryCount -lt $maxRetry)
  exit 1
  

• 增加前置校验步骤：在命令最开始增加Get-AzContext输出，确认当前执行使用的Azure账号身份、权限匹配修改RSV配置的要求，避免静默权限不足问题。

内容的提问来源于stack exchange，提问作者Naresh S