使用 Terraform 配置 Azure 虚拟桌面基于角色的访问控制

文章使用以下 Terraform 和 Terraform 提供程序版本进行测试：

• Terraform v1.1.4
• AzureRM 提供程序 v.2.94.0

使用 Terraform 可以定义、预览和部署云基础结构。 使用 Terraform 时，请使用 HCL 语法来创建配置文件。 利用 HCL 语法，可指定 Azure 这样的云提供程序和构成云基础结构的元素。 创建配置文件后，请创建一个执行计划，利用该计划，可在部署基础结构更改之前先预览这些更改。 验证了更改后，请应用该执行计划以部署基础结构。

本文将逐步讲解如何添加用户和 Microsoft Entra 组，然后将该组分配到作用域为主机池的“桌面虚拟化用户”角色。

在本文中，学习如何：

• 使用 Terraform 读取 Microsoft Entra 现有用户
• 使用 Terraform 创建 Microsoft Entra 组
• Azure 虚拟桌面的角色分配

1.配置环境

• Azure 订阅：如果没有 Azure 订阅，请在开始之前创建一个免费帐户。

• 配置 Terraform：如果尚未执行此操作，请使用以下选项之一配置 Terraform：

  • 使用 Bash 在 Azure Cloud Shell 中配置 Terraform
  • 使用 PowerShell 在 Azure Cloud Shell 中配置 Terraform
  • 使用 Bash 在 Windows 中配置 Terraform
  • 使用 PowerShell 在 Windows 中配置 Terraform

2. 实现 Terraform 代码

1. 创建用于测试和运行示例 Terraform 代码的目录，并将其设为当前目录。

2. 创建名为 providers.tf 的文件并插入下列代码：

   terraform {
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~>2.0"
       }
       azuread = {
         source = "hashicorp/azuread"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   

3. 创建名为 main.tf 的文件并插入下列代码：

   data "azuread_user" "aad_user" {
     for_each            = toset(var.avd_users)
     user_principal_name = format("%s", each.key)
   }
   
   data "azurerm_role_definition" "role" { # access an existing built-in role
     name = "Desktop Virtualization User"
   }
   
   resource "azuread_group" "aad_group" {
     display_name     = var.aad_group_name
     security_enabled = true
   }
   
   resource "azuread_group_member" "aad_group_member" {
     for_each         = data.azuread_user.aad_user
     group_object_id  = azuread_group.aad_group.id
     member_object_id = each.value["id"]
   }
   
   resource "azurerm_role_assignment" "role" {
     scope              = azurerm_virtual_desktop_application_group.dag.id
     role_definition_id = data.azurerm_role_definition.role.id
     principal_id       = azuread_group.aad_group.id
   }
   

4. 创建名为 variables.tf 的文件并插入下列代码：

variable "avd_users" {
  description = "AVD users"
  default = [
    "avduser01@contoso.net",
    "avduser02@contoso.net"
  ]
}

variable "aad_group_name" {
  type        = string
  default     = "AVDUsers"
  description = "Azure Active Directory Group for AVD users"
}

1. 创建名为 output.tf 的文件并插入下列代码：

output "AVD_user_groupname" {
  description = "Azure Active Directory Group for AVD users"
  value       = azuread_group.aad_group.display_name
}

6. 初始化 Terraform

运行 terraform init，将 Terraform 部署进行初始化。 此命令将下载管理 Azure 资源所需的 Azure 提供程序。

terraform init -upgrade

要点：

• 参数 -upgrade 可将必要的提供程序插件升级到符合配置版本约束的最新版本。

7. 创建 Terraform 执行计划

运行 terraform plan 以创建执行计划。

terraform plan -out main.tfplan

要点：

• terraform plan 命令将创建一个执行计划，但不会执行它。 它会确定创建配置文件中指定的配置需要执行哪些操作。 此模式允许你在对实际资源进行任何更改之前验证执行计划是否符合预期。
• 使用可选 -out 参数可以为计划指定输出文件。 使用 -out 参数可以确保所查看的计划与所应用的计划完全一致。

8. 应用 Terraform 执行计划

运行 terraform apply，将执行计划应用到云基础结构。

terraform apply main.tfplan

要点：

• 示例 terraform apply 命令假设你先前运行了 terraform plan -out main.tfplan。
• 如果为 -out 参数指定了不同的文件名，请在对 terraform apply 的调用中使用该相同文件名。
• 如果未使用 -out 参数，请调用不带任何参数的 terraform apply。

现在，可以使用基于角色的访问控制来生成和部署基础结构。

9.清理资源

不再需要通过 Terraform 创建的资源时，请执行以下步骤：

1. 运行 terraform plan 并指定 destroy 标志。

   terraform plan -destroy -out main.destroy.tfplan
   

   要点：

   • terraform plan 命令将创建一个执行计划，但不会执行它。 它会确定创建配置文件中指定的配置需要执行哪些操作。 此模式允许你在对实际资源进行任何更改之前验证执行计划是否符合预期。
   • 使用可选 -out 参数可以为计划指定输出文件。 使用 -out 参数可以确保所查看的计划与所应用的计划完全一致。

2. 运行 terraform apply 以应用执行计划。

   terraform apply main.destroy.tfplan
   

Azure 上的 Terraform 故障排除

排查在 Azure 上使用 Terraform 时遇到的常见问题

后续步骤

详细了解如何在 Azure 中使用 Terraform 配置 Azure 虚拟桌面会话主机