使用Terraform创建Azure静态Web应用时仓库令牌创建失败

问题背景 #

使用Terraform创建Azure静态Web应用并关联Azure Pipeline，代码如下：

resource "azurerm_static_web_app" "restrictedarea_stapp" {
  name                = "${var.env_prefix}-restrictedarea-stapp-westeu" 
  resource_group_name = azurerm_resource_group.restrictedarea_rg.name
  location            = azurerm_resource_group.restrictedarea_rg.location

  sku_tier            = "Free"
  sku_size            = "Free"

  tags = {
    Source = "${var.iac}"
  }

  repository_url      = "https://dev.azure.com/xxxxx"
  repository_branch   = "${var.env_prefix}"
  repository_token    = "8JNNF9VpMIrtGxwkVoY4BtD04Hemes0KNXgb7FINYvlqxsFujsbFJQQJ99BEACAAAAAjYyruAAASAZDO2MRw"  
}

Terraform Cloud执行部署规划无错误，但应用更新时出现400错误，提示无权限在Library中创建变量组。已为Terraform连接Azure的服务主体设置Administrator和Creator角色，问题仍存在。

问题原因与解决方案 #

报错指向的是Azure DevOps内部的权限，而非Azure资源权限，核心问题出在repository_token的权限配置：

• 权限体系区分：你配置的Azure服务主体权限仅针对Azure云资源，和Azure DevOps平台内的Library变量组权限是完全独立的两套体系，服务主体权限无法覆盖DevOps内部操作。
• 检查PAT权限：repository_token是Azure DevOps的个人访问令牌（PAT），需要确保它拥有**Variable Groups (Create)**权限，且作用域覆盖目标DevOps项目。操作步骤：
  1. 登录Azure DevOps，进入用户设置→个人访问令牌
  2. 找到对应的令牌，编辑权限范围
  3. 勾选Variable Groups分类下的Create权限，同时确保令牌的项目作用域正确
• 修正repository_url：确认repository_url指向具体的DevOps项目（格式应为https://dev.azure.com/{组织名}/{项目名}），而非仅到组织级别，否则Terraform无法定位到正确的项目Library。
• 无需创建新用户，调整现有PAT权限即可解决问题。

内容的提问来源于stack exchange，提问作者Simone