Конвейер выпуска Azure, задача terraform - не удается пройти проверку подлинности с помощью Azure, сообщает об ошибке 700016 - PullRequest
Новая
       78

Конвейер выпуска Azure, задача terraform - не удается пройти проверку подлинности с помощью Azure, сообщает об ошибке 700016

1 голос
/ 12 марта 2019

Мой конвейер выпуска работал очень хорошо, пока я не удалил регистрацию приложения / принципала службы из пользовательского интерфейса и не создал новую, используя следующую команду. 

az ad sp create-for-rbac --name <Name of Service Principal> --password <Password>

Я обновил значения, полученные из приведенного выше, в разделе «Группы переменных», который связан с конвейерами выпуска

enter image description here

Однако, когда я получаю план-задание terrafor, которое определено ниже: 

Terraform plan -out main.plan -var "ARM_SUBSCRIPTION_ID=$(TF_VAR_ARM_SUBSCRIPTION_ID)" -var "ARM_CLIENT_ID=$(TF_VAR_ARM_CLIENT_ID)" -var "ARM_CLIENT_SECRET=$(TF_VAR_ARM_CLIENT_SECRET)" -var "ARM_TENANT_ID=$(TF_VAR_ARM_TENANT_ID)"

Я получаю сообщение об ошибке ниже: 

* provider.azurerm: Unable to list provider registration status, it is possible that this is due to invalid credentials or the service principal does not have permission to use the Resource Manager API, Azure error: azure.BearerAuthorizer#WithAuthorization: Failed to refresh the Token for request to https://management.azure.com/subscriptions/***/providers?api-version=2016-02-01: StatusCode=400 -- Original Error: adal: Refresh request failed. Status Code = '400'. Response body: {"error":"unauthorized_client","error_description":"AADSTS700016: Application with identifier '***()' was not found in the directory '***'. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You may have sent your authentication request to the wrong tenant.\r\nTrace ID: 7a1e3f3a-5171-4044-b59a-49a78d3df300\r\nCorrelation ID: f61d0e14-ecf7-45b9-bbc7-e357ddb7b1dd\r\nTimestamp: 2019-03-12 10:22:16Z","error_codes":[700016],"timestamp":"2019-03-12 10:22:16Z","trace_id":"7a1e3f3a-5171-4044-b59a-49a78d3df300","correlation_id":"f61d0e14-ecf7-45b9-bbc7-e357ddb7b1dd","error_uri":"https://login.microsoftonline.com/error?code=700016"}
2019-03-12T10:22:16.4925828Z

Непосредственно перед этой задачей, это задача cmd, которая выполняет вход в учетную запись az с принципалом службы. В выводе журнала отчетливо видно, как выводится учетная запись az, так почему эта задача не работает?

Вывод задания CMD, 

2019-03-12T11:58:05.4615044Z Environment variable -x not defined
2019-03-12T11:58:05.4615608Z ***
2019-03-12T11:58:05.4667686Z ***
2019-03-12T11:58:05.4668423Z ***
2019-03-12T11:58:05.4669112Z ***
2019-03-12T11:58:05.4669557Z "Subscription ID=> ***"
2019-03-12T11:58:48.5462240Z [
2019-03-12T11:58:48.5463710Z   {
2019-03-12T11:58:48.5464432Z     "cloudName": "AzureCloud",
2019-03-12T11:58:48.5464946Z     "id": "***",
2019-03-12T11:58:48.5465917Z     "isDefault": true,
2019-03-12T11:58:48.5469154Z     "name": "Visual Studio Enterprise",
2019-03-12T11:58:48.5469568Z     "state": "Enabled",
2019-03-12T11:58:48.5469843Z     "tenantId": "***",
2019-03-12T11:58:48.5470058Z     "user": {
2019-03-12T11:58:48.5470290Z       "name": "***",
2019-03-12T11:58:48.5470496Z       "type": "servicePrincipal"
2019-03-12T11:58:48.5471388Z     }
2019-03-12T11:58:48.5471648Z   }
2019-03-12T11:58:48.5471999Z ]

Это определение, как показано ниже: 

echo $(TF_VAR_ARM_SUBSCRIPTION_ID)

echo $(TF_VAR_ARM_TENANT_ID)

echo $(TF_VAR_ARM_CLIENT_SECRET)

echo $(TF_VAR_ARM_CLIENT_ID)

echo "Subscription ID=> $(TF_VAR_ARM_SUBSCRIPTION_ID)"

az login --service-principal -u  $(TF_VAR_ARM_CLIENT_ID) -p  $(TF_VAR_ARM_CLIENT_SECRET) --tenant $(TF_VAR_ARM_TENANT_ID)

az account show

Прежде чем я смог подготовить ресурс без каких-либо проблем.

1 Ответ

1 голос
/ 11 апреля 2019

надеюсь, вы уже решили эту проблему, но в случае, если у кого-то еще есть подобная проблема, я решил ту же ошибку. Если вы используете субъекта службы для аутентификации, вам нужно убедиться, что у провайдера Azurerm есть все необходимые значения (это происходит автоматически при обычном входе в Azure cli, поскольку он устанавливает для вас правильные переменные env). Самый простой способ сделать это - убедиться, что ваш провайдер настроен так, как показано ниже (и для каждой из переменных указаны соответствующие значения через --var или --var-file. 

provider "azurerm" {
  version         = "=1.24.0"
  tenant_id       = "${var.tenant}"
  subscription_id = "${var.subscription}"
  client_id       = "${var.client_id}"
  client_secret   = "${var.client_secret}"
}
...