Azure政府环境：Terraform服务主体保留Contributor权限并移除Key Vault访问

我完全懂你在Azure政府环境用Terraform部署时碰到的这个权限矛盾：订阅级Contributor的服务主体（SP）一方面拿到了超出需求的Key Vault管理平面权限，另一方面又没法创建Key Vault的访问策略——这确实是Contributor角色的权限边界带来的典型问题，下面给你针对性的解决方案：

1. 收紧管理平面权限，避免过度授权 #

别直接给SP分配订阅级Contributor角色，遵循最小权限原则拆分权限：

• 先给SP分配目标资源组级别的Contributor角色（如果你的部署都集中在特定资源组），或者更细粒度的角色，比如Virtual Machine Contributor、Storage Account Contributor，完全匹配Terraform需要部署的资源类型。
• 对于Key Vault的管理平面操作（比如创建KV、修改KV基础属性），单独分配Key Vault Contributor角色，且限定在目标Key Vault或其所在资源组范围，绝对不要用订阅级。

2. 授予管理Key Vault访问策略的专属权限 #

Contributor角色本身不包含Key Vault数据平面的操作权限，要让SP能创建/修改KV访问策略，需要分配以下角色之一：

• Key Vault Access Policy Administrator：专门用于管理KV访问策略的角色，刚好匹配你需要创建访问权限的场景。
• Key Vault Owner：如果需要完全控制KV（管理+数据平面），但同样建议限定在特定KV/资源组范围，拒绝订阅级授权。

如果你的环境用的是Azure RBAC模式（而非传统KV访问策略），可以直接给SP分配Key Vault Secrets Officer、Key Vault Keys Officer等角色，精准管理对应机密/密钥的权限。

3. 实操示例 #

用Azure CLI创建受限权限的SP #

# 创建基础权限的服务主体（资源组级Contributor）
az ad sp create-for-rbac --name "terraform-azure-gov-sp" --role "Resource Group Contributor" --scopes "/subscriptions/<你的订阅ID>/resourceGroups/<目标资源组名称>"

# 额外分配KV访问策略管理权限到目标Key Vault
az role assignment create --assignee "<SP的应用ID>" --role "Key Vault Access Policy Administrator" --scopes "/subscriptions/<你的订阅ID>/resourceGroups/<目标资源组名称>/providers/Microsoft.KeyVault/vaults/<你的KV名称>"

Terraform中配置KV访问策略（传统模式） #

resource "azurerm_key_vault_access_policy" "terraform_sp" {
  key_vault_id = azurerm_key_vault.main.id
  tenant_id    = data.azurerm_client_config.current.tenant_id
  object_id    = "<你的SP对象ID>"

  # 根据实际需求调整权限范围
  key_permissions = [
    "Get", "List", "Create"
  ]

  secret_permissions = [
    "Get", "List", "Set"
  ]
}

额外安全提示 #

• 在Azure Gov环境中，SP的凭证（客户端密钥/证书）一定要存在安全的地方，比如专用的Key Vault里，同时限制只有必要人员/服务能访问这个存储凭证的KV。
• 定期审查SP的权限分配，及时移除不再需要的角色。
• 如果用Terraform Cloud/Enterprise，用工作区变量存储SP凭证，杜绝明文暴露。

内容的提问来源于stack exchange，提问作者phydeauxman