使用 Azure 进行 Terraform。访问权限最佳实践

Question

使用 Terraform 在 Azure 上预配基础架构时的最佳做法是什么？我们正在努力在两种变体之间做出决定：

• 为 Terraform 创建一个服务主体，并为其授予整个订阅的所有者权限，以便它可以为每个环境创建资源组并将角色分配给资源中的服务主体。
• 手动为每个环境创建资源组和服务主体，并将 terraform 的服务主体所有者权限仅分配给资源组。

第一个选项更方便，但我担心在订阅级别授予 Terraform Owner 权限时存在安全问题。

最好的解决方案是什么？

Answer 1

当您担心安全性时，您的要求应该有所限制。如果您只想在一个资源组或串行资源组中创建资源，然后对所有事物进行控制。我建议您创建一个服务主体并为其分配资源组的所有者角色，而不是整个订阅。这是确保安全的最佳方式，您还拥有控制该组或多个组中资源的所有权利，仅将范围限制在该组或多个组中。

将所有者角色分配给整个订阅，这不安全，你知道，有时会有人犯一些错误。