已分配Owner权限，创建Storage Sync Cloud Endpoint报错MgmtStorageAccountAuthorizationFailed

• 核心问题：即使执行Terraform的账户和Storage Sync Service都有存储账户的Owner角色，仍报错无法读取存储账户，大概率是Storage Sync Service的系统身份权限配置不生效或未正确关联。

关键修复步骤 #

1. 确保Storage Sync Service启用系统身份
   在定义azurerm_storage_sync_service时必须开启系统分配身份，这是Storage Sync访问存储账户的核心身份：

   resource "azurerm_storage_sync_service" "example" {
     name                = "your-storage-sync-name"
     resource_group_name = azurerm_resource_group.your_rg.name
     location            = azurerm_resource_group.your_rg.location
     
     identity {
       type = "SystemAssigned"
     }
   }
   

2. 用Terraform自动给Storage Sync身份分配存储账户权限
   不要用null_resource手动添加角色，直接用azurerm_role_assignment绑定权限，确保资源依赖关系正确：

   resource "azurerm_role_assignment" "sync_storage_access" {
     scope                = module.ena_secure_file_storage[0].storage_account_id
     role_definition_name = "Storage File Data SMB Share Contributor" # 或Owner，按需选择
     principal_id         = azurerm_storage_sync_service.example.identity.0.principal_id
   }
   

3. 修正Cloud Endpoint的依赖关系
   将depends_on指向刚创建的角色分配资源，确保权限生效后再创建Cloud Endpoint：

   resource "azurerm_storage_sync_cloud_endpoint" "ena_secure" {
     name                  = "Citrix-File-Sync-Cloud-Endpoint-${var.environment.short}-ENA-Secure"
     storage_sync_group_id = azurerm_storage_sync_group.ena.id
     file_share_name       = module.ena_secure_file_storage[0].upm_share_name
     storage_account_id    = module.ena_secure_file_storage[0].storage_account_id
     depends_on            = [azurerm_role_assignment.sync_storage_access]
   }
   

4. 处理权限生效延迟
   Azure RBAC权限分配可能有1-5分钟的生效延迟，如果仍报错，可在角色分配后添加一个短延迟：

   resource "null_resource" "wait_for_rbac" {
     depends_on = [azurerm_role_assignment.sync_storage_access]
     
     provisioner "local-exec" {
       command = "sleep 30" # 等待30秒，按需调整
     }
   }
   
   # 让Cloud Endpoint依赖这个延迟资源
   resource "azurerm_storage_sync_cloud_endpoint" "ena_secure" {
     # ... 其他配置 ...
     depends_on            = [null_resource.wait_for_rbac]
   }
   

5. 检查存储账户网络限制
   如果存储账户开了防火墙或私有端点，需在存储账户的网络设置中添加允许规则：

   • 允许Azure服务访问存储账户
   • 或添加Storage Sync服务对应的IP范围/服务端点

内容的提问来源于stack exchange，提问作者Dragonsys