如何在Terraform中获取Azure Storage Sync的Principal ID并授权存储账户

你遇到的核心问题是azurerm_storage_sync资源未暴露服务主体的GUID格式ID，导致无法直接为其配置存储账户的Owner权限。以下是两种可行的解决方法：

方法一：使用external数据源调用Azure CLI获取服务主体ID #

Azure Storage Sync的系统托管标识ID可以通过Azure CLI查询，我们可以借助Terraform的external数据源执行该查询，获取所需的GUID格式Principal ID。

代码示例：

resource "azurerm_storage_sync" "ena_sync" {
  name                = "Citrix-File-Sync-${var.environment.short}"
  resource_group_name = var.azurerm_vars.azurerm_resource_group
  location            = var.azurerm_vars.azurerm_location
}

# 通过Azure CLI查询Storage Sync的服务主体ID
data "external" "storage_sync_principal" {
  program = [
    "az",
    "resource",
    "show",
    "--ids",
    azurerm_storage_sync.ena_sync.id,
    "--query",
    "identity.principalId",
    "--output",
    "tsv"
  ]
}

resource "azurerm_role_assignment" "ena_sync" {
  scope                = var.storage_account # 注意移除原代码中的$符号，Terraform变量引用无需前缀
  role_definition_name = "Owner"
  principal_id         = data.external.storage_sync_principal.result["0"]
  principal_type       = "ServicePrincipal"
}

注意事项： #

• 执行Terraform的环境需已安装并登录Azure CLI，且具备查询资源标识信息的权限
• 确保Azure CLI版本兼容，避免命令参数差异导致的查询失败

方法二：通过REST API获取资源标识信息 #

若不想依赖Azure CLI，可使用azurerm_rest_api数据源直接调用Azure REST API获取Storage Sync的标识信息，配置相对复杂但无需额外工具依赖。

代码示例：

resource "azurerm_storage_sync" "ena_sync" {
  name                = "Citrix-File-Sync-${var.environment.short}"
  resource_group_name = var.azurerm_vars.azurerm_resource_group
  location            = var.azurerm_vars.azurerm_location
}

# 调用Azure REST API获取Storage Sync的标识信息
data "azurerm_rest_api" "storage_sync_identity" {
  uri = "${azurerm_storage_sync.ena_sync.id}?api-version=2022-06-01"
}

# 解析响应JSON提取Principal ID
locals {
  storage_sync_principal_id = jsondecode(data.azurerm_rest_api.storage_sync_identity.response_body).identity.principalId
}

resource "azurerm_role_assignment" "ena_sync" {
  scope                = var.storage_account
  role_definition_name = "Owner"
  principal_id         = local.storage_sync_principal_id
  principal_type       = "ServicePrincipal"
}

补充说明： #

• 两种方法均基于Storage Sync默认启用的系统托管标识完成授权，这是Azure资源间权限配置的标准方式
• 建议使用较新版本的AzureRM Provider，避免API版本不兼容导致的解析失败

内容的提问来源于stack exchange，提问作者Dragonsys