如何在Terraform中引用私有GitLab模块时不硬编码GitLab Token

以下是几种可行的实现方案，按推荐程度排序：

方案1：使用Git凭据助手（推荐） #

通过Git自带的凭据管理机制，让Terraform自动复用Git的登录凭据，无需在source中写入Token：

• 配置Git凭据助手（以系统密钥链为例，安全性更高）：

  # macOS
  git config --global credential.helper osxkeychain
  # Linux
  git config --global credential.helper libsecret
  # Windows
  git config --global credential.helper wincred
  

• 手动克隆一次目标私有仓库，输入用户名terraform-modules和你的GitLab Token，Git会自动将凭据存入对应密钥链/存储：

  git clone https://gitlab.abc.xyz.com/abcd/ty245653/test/terraform-modules/param-store.git
  

• 修改Terraform模块source为不带Token的地址：

  module "params" {   
    source = "git::https://gitlab.abc.xyz.com/abcd/ty245653/test/terraform-modules/param-store.git?ref=v1.0.1"
    env    = var.key
    tags   = var.tags
  }
  

• 后续执行terraform init时，Terraform会通过Git自动读取已保存的凭据拉取模块。

方案2：使用环境变量（适合CI/CD场景） #

通过环境变量传递Git凭据，避免硬编码到代码中：

方式A：直接设置Git用户名和密码变量 #

在执行terraform init前，设置环境变量：

export GIT_USERNAME=terraform-modules
export GIT_PASSWORD=你的GitLab Token

然后正常运行Terraform命令即可，Git会自动使用这些变量进行认证。

方式B：使用GIT_ASKPASS脚本 #

适合需要隐藏凭据输入的场景：

1. 创建一个脚本（比如git-askpass.sh），内容为返回你的Token：

   #!/bin/bash
   echo "你的GitLab Token"
   

2. 赋予脚本执行权限：

   chmod +x git-askpass.sh
   

3. 设置环境变量指向该脚本，并指定用户名：

   export GIT_ASKPASS=/path/to/git-askpass.sh
   export GIT_USERNAME=terraform-modules
   

4. 执行terraform init，Git会通过脚本获取Token完成认证。

方案3：使用SSH密钥替代Token（可选） #

如果GitLab仓库支持SSH访问，可以配置SSH密钥来替代Token认证：

• 生成SSH密钥对（若没有）：

  ssh-keygen -t ed25519 -C "你的邮箱"
  

• 将公钥添加到GitLab账户的SSH密钥列表中
• 修改Terraform模块source为SSH地址：

  module "params" {   
    source = "git@gitlab.abc.xyz.com:abcd/ty245653/test/terraform-modules/param-store.git?ref=v1.0.1"
    env    = var.key
    tags   = var.tags
  }
  

• 确保本地SSH代理已加载私钥，执行terraform init即可通过SSH认证拉取模块。

内容的提问来源于stack exchange，提问作者imit