Terraform部署含Unity Catalog的Databricks：如何自动授予账户管理员权限？

核心结论 #

无法完全跳过手动/初始授权步骤，因为Databricks账户管理员权限的授予依赖已存在的账户管理员身份，但可以通过脚本化或身份复用的方式最小化手动操作。

具体问题解答 #

1. 能否无需手动步骤授予账户管理员权限？
   不行。Databricks账户的初始管理员权限默认仅分配给创建该Databricks账户的Entra主体（用户或服务主体），其他主体要获得账户管理员权限，必须由现有账户管理员（包括初始管理员）进行授权——这是权限体系的安全边界，无法通过Terraform自动绕过，因为Terraform本身需要该权限才能执行账户级资源（如Unity Catalog元数据存储）的部署操作。

2. 是否必须由Entra管理员登录Databricks账户门户操作？
   不一定，分两种场景：

• 如果直接用创建Databricks账户的Entra主体作为Terraform的执行身份，该主体默认已是账户管理员，无需任何额外操作，直接运行Terraform即可。
• 如果需要用其他主体执行Terraform，那么确实需要现有账户管理员（可以是Entra管理员，也可以是初始的账户创建者）完成授权，但授权不一定非要通过门户：可以用Databricks账户API或CLI完成脚本化授权，比手动操作更符合自动化思路。

IaC场景下的常规处理方案 #

针对全新空白环境，通常有以下几种实践：

• 复用初始身份：直接使用创建Databricks账户的Entra服务主体作为Terraform的执行身份。这种方式零额外授权步骤，是最简洁的方案，适合从0搭建的场景。
• 一次性脚本化授权：由初始账户管理员运行预写的脚本，调用Databricks账户API给Terraform专用的服务主体授予账户管理员权限。示例脚本逻辑（用Databricks CLI）：

  # 登录Databricks账户（需初始管理员权限）
  databricks configure --account --host https://accounts.azuredatabricks.net
  # 给目标服务主体添加账户管理员角色
  databricks accounts users update --account-id <你的账户ID> --user-id <服务主体ID> --roles account_admin
  

  这一步只需执行一次，之后Terraform主体就能独立完成后续部署。
• 分层部署：将整个流程拆分为两个阶段：
  1. 第一阶段：用初始管理员身份完成Databricks账户创建、Terraform主体授权等基础操作（可通过Azure CLI+Databricks API脚本实现）。
  2. 第二阶段：用已授权的Terraform主体执行完整的工作区+Unity Catalog部署。
     这种方式把手动操作压缩到最小，且所有步骤都可纳入自动化流水线管理。

内容的提问来源于stack exchange，提问作者James Cooke