使用Terraform将托管标识访问分配给应用程序角色

Question

我想使用Terraform为应用程序角色分配托管身份访问权限。

我发现了一个类似的过程，但它使用PowerShell。我想用Terraform来做这件事。
https://docs.microsoft.com/en-us/azure/active-directory/managed-identities-azure-resources/how-to-assign-app-role-managed-identity-powershell

resource "azuread_application_app_role" "AppRole1" {
  application_object_id = azuread_application.ResourceController.id
  allowed_member_types  = ["Application"]
  description           = "All access"
  display_name          = "All access"
  is_enabled            = true
  value                 = "All"
}

resource "azurerm_role_assignment" "assignment1" {
  principal_id = data.azuread_service_principal.website.id # This is a managed identity.
  role_definition_id = azuread_application_app_role.AppRole1.id
  scope= azuread_application_app_role.ResourceController.id # ???
}

我应该在范围字段中指定什么，否则这在Terraform中是不可能的？

Answer 1

使用当前的Terraform Azure提供商可能是不可能的。

我在GitHub的一个问题上找到了这条评论。

azurerm\u role\u分配只能用于将角色分配给订阅资源。

https://github.com/terraform-providers/terraform-provider-azurerm/issues/6557#issuecomment-658154929

Answer 2

范围是要为角色分配托管标识的资源ID。例如，您想将托管标识分配给具有您创建的角色的VM。然后范围是VM资源ID，如下所示：

"/subscriptions/subscription_id/resourceGroups/group_name/providers/Microsoft.Compute/virtualMachines/vm_name"