通过Terraform循环创建Azure SQL Server登录名和用户时遇登录失败错误求助

看起来你在尝试用Terraform给每个数据库批量创建登录名和用户时碰到了登录失败的问题，我来帮你梳理下可能的原因和解决方向：

先排查最常见的认证类问题 #

• 确认Provider的认证凭据是否正确：你用的是betr-io/mssql provider，这个工具需要正确的连接参数才能访问SQL Server。你可以先手动用代码里的管理员账号和Key Vault取出的密码，尝试登录SQL Server，验证凭据本身是否有效，排除密码取值错误的可能。
• 检查认证方式匹配性：你的SQL Server配置了Azure AD管理员，如果mssql Provider默认用SQL认证，但实际环境里AD认证优先级更高，或者没有配置AD认证相关参数，也会导致登录失败。

检查资源依赖关系是否正确 #

你的azurerm_mssql_server用了count参数，在循环创建登录/用户的时候，一定要确保这些资源依赖SQL Server的创建完成。比如给登录/用户资源加上depends_on = [azurerm_mssql_server.cdapi]，或者用azurerm_mssql_server.cdapi[0].fully_qualified_domain_name这种正确的引用方式，避免SQL Server还没部署就绪就发起连接请求。

补全mssql Provider的连接配置 #

你只贴了Provider的源和版本，没有给出连接参数配置，这很可能是问题核心。正确的Provider配置应该包含SQL Server的连接信息，比如：

provider "mssql" {
  server = azurerm_mssql_server.cdapi[0].fully_qualified_domain_name
  port   = 1433
  # 如果用SQL认证
  username = var.mssql.admin.username
  password = data.azurerm_key_vault_secret.mssql_admin_password[0].value
  # 如果用Azure AD认证，需要补充client_id、tenant_id等对应参数，具体参考provider文档
}

没有这些参数，Provider根本无法建立和SQL Server的连接，自然会抛出登录失败的错误。

循环创建逻辑的注意事项 #

假设你是遍历数据库列表来创建登录和用户，要确保每个资源的关联关系正确，比如：

variable "databases" {
  type = list(string)
  default = ["db1", "db2"]
}

resource "mssql_login" "db_logins" {
  count = length(var.databases)
  name     = "login_${var.databases[count.index]}"
  password = data.azurerm_key_vault_secret.db_login_passwords[count.index].value # 建议从Key Vault取安全密码
}

resource "mssql_user" "db_users" {
  count = length(var.databases)
  name     = "user_${var.databases[count.index]}"
  login_id = mssql_login.db_logins[count.index].id
  database = azurerm_mssql_database.cd_dbs[count.index].name
}

这里要确保数据库资源已经创建完成，且和登录/用户资源有明确的依赖关联。

额外排查点 #

• 检查SQL Server的公网访问设置：你代码里public_network_access_enabled后面内容截断了，如果设置为false，Terraform运行环境无法连接到SQL Server，会导致登录失败。
• 检查防火墙规则：有没有给Terraform运行的IP地址添加SQL Server的防火墙允许规则？如果没有，连接会被拒绝，有时候错误信息会显示为“登录失败”，容易误导排查方向。

你可以先从手动验证凭据、补全Provider连接配置这两个方向入手排查，应该能快速定位问题。

备注：内容来源于stack exchange，提问作者palak