使用 Terraform 管理 Cloudflare 资源报错权限不足？

遇到 Terraform 操作 Cloudflare 报权限不足，通常是 API Token 的 Scope 没给够，或者 Provider 配置里的 Account ID 不对。

核心结论：大多数权限报错是因为 API Token 缺少具体的资源操作权限，或者 Terraform Provider 绑定了错误的 Account ID。

确认 API Token 是否包含所需的 Zone 或 Account 权限范围。
检查 Provider 配置中的 account_id 和 api_token 参数。
验证 terraform plan 是否不再报 403 或 401 错误。

如何获取 Cloudflare Account ID

Provider 配置需要准确的 Account ID，获取路径如下：

登录 Cloudflare Dashboard。
在右侧边栏找到账户信息，或进入 Workers & Pages 概览页。
复制显示的 Account ID（32 位字符串）。

也可通过 API 验证：curl -X GET "https://api.cloudflare.com/client/v4/accounts" -H "Authorization: Bearer YOUR_TOKEN"。

配置 API Token 权限

Cloudflare 推荐使用 API Token 而非 Global API Key。报错通常是因为 Token 创建时勾选的权限模板不包含当前资源操作所需的 scope。

编辑步骤：

进入 My Profile > API Tokens。
找到正在使用的 Token，点击右侧的编辑按钮。
在权限模板中勾选所需范围，例如管理 DNS 记录需要 Zone > DNS > Edit 权限。
保存更改后重新运行 Terraform。

修正 Provider 配置

在 main.tf 中确保 provider 块显式声明了 account_id，建议通过变量或环境变量传入，避免硬编码。

provider "cloudflare" {
  account_id = var.cloudflare_account_id
  # api_token 建议通过环境变量 CLOUDFLARE_API_TOKEN 传入
}

环境变量优先策略：

export CLOUDFLARE_API_TOKEN="你的 Token"
export CLOUDFLARE_ACCOUNT_ID="你的账户 ID"
terraform init
terraform plan

常见资源所需权限 Scope 对照

资源类型	所需权限 Scope	级别
DNS 记录	Zone:DNS:Edit	Zone
Workers	Account:Workers Scripts:Edit	Account
Load Balancing	Account:Load Balancing:Edit	Account
SSL/TLS	Zone:SSL:Edit	Zone

验证与排查

运行 terraform plan。如果权限配置正确，命令会正常输出资源变更计划，不再出现 Error: Request failed 或 HTTP 403 Forbidden 字样。如果仍然报错，查看错误信息中的 required scopes 提示，回到 Dashboard 补充对应权限。

常见坑

混用 Global API Key 和 API Token：旧教程可能建议使用 Global Key，但新权限模型下容易因权限过大或受限导致意外报错。
Account ID 与 Zone ID 混淆：Provider 配置需要 Account ID，而资源操作往往针对 Zone ID，两者填反会导致权限校验失败。
Token 过期或被撤销：检查 Token 状态是否为 Active，长期未用的 Token 可能被安全策略自动失效。

参考来源

Cloudflare Terraform Provider Documentation, https://registry.terraform.io/providers/cloudflare/cloudflare/latest/docs
Cloudflare API Tokens Documentation, https://developers.cloudflare.com/fundamentals/api/get-started/create-token/