我可以使用 Terraform 分配对托管标识的应用程序角色访问权限吗？

Question

可以使用required_resource_access 为azuread_application 在terraform 中为应用注册分配应用角色访问权限。这将向另一个应用程序/服务主体授予对我的 API 的自定义角色的访问权限。

我想对托管身份执行相同的操作，但无法找到使用 terraform 执行此操作的方法。可以使用 powershell 来完成，例如：

New-AzureADServiceAppRoleAssignment -ObjectId $managedIdentityObjectId -Id $appRoleId -PrincipalId $managedIdentityObjectId -ResourceId $serverServicePrincipalObjectId

对图形 api 的调用将达到我认为的相同效果：

POST /servicePrincipals/{objectId}/appRoleAssignments

但如果可能的话，我真的很想用 terraform 做到这一点。

Answer 1

Terraform 中没有这样的内置资源来实现这一点，这里唯一相关的东西 - azuread_application_app_role，如果你想这样做，解决方法是通过 local-exec Provisioner 在 Terraform 中手动运行 powershell 命令。