跨订阅使用的多租户服务主体

Question

我有一个 Terraform 计划，需要在使用不同 AzureAD 实例的不同 Azure 订阅中预配资源。

是否可以为 Terraform 创建单个服务主体以跨订阅使用？ SP 影子复制到所有 AD 实例？然后在每个订阅上分配一个 SP RBAC... 如果可能，创建 SP 并将其复制到每个 AD 的 cli 命令是什么？

也许我错了，但我认为这是AvailableToOtherTenants 参数的目的？？？ https://docs.microsoft.com/en-us/powershell/module/az.resources/new-azadapplication?view=azps-4.3.0#parameters

Answer 1

服务主体特定于您的租户，在概念上类似于服务用户。 “对其他租户可用”参数用于应用程序注册。例如。如果您正在开发多租户应用程序，请激活该应用程序，以便其他租户可以对您的应用程序进行身份验证。它们是 2 个不同且独立的概念。

在 terraform 方面，https://azurecitadel.com/automation/terraform/lab5/ 在这里描述了如何进行多租户，基本上你需要的是每个租户的服务主体，并将详细信息放在提供程序块中。

根据：https://www.terraform.io/docs/providers/azurerm/index.html#argument-reference底部说

也可以在单个中使用多个 Provider 块 Terraform 配置，例如使用跨域资源 多个订阅 - 更多信息可以在 提供者的文档。

这基本上就是你需要做的。