OpenShift流水线从TFS拉取源码遇valueFrom错误，求解决方案

你遇到的报错是因为Tekton Pipeline的params字段不支持valueFrom语法，valueFrom仅能在Task的输入参数、Pod模板的环境变量等场景中使用，无法直接在Pipeline的参数定义里引用Secret。

1. 通过Workspace传递Basic Auth Secret #

大部分官方的git-clone ClusterTask支持通过Workspace挂载kubernetes.io/basic-auth类型的Secret，Task会自动读取Secret中的username和password完成认证。

修改流水线任务配置：

- name: fetch-repository
  taskRef:
    kind: ClusterTask
    name: git-clone
  params:
    - name: URL
      value: $(params.git-url)
    - name: subdirectory
      value: ''
    - name: deleteExisting
      value: 'true'
    - name: revision
      value: $(params.git-revision)
    - name: sslVerify
      value: 'false'
  workspaces:
    - name: output
      workspace: shared-workspace
    - name: basic-auth  # 添加这个workspace用于传递认证Secret
      workspace: git-auth-workspace

在Pipeline的spec中定义对应的Workspace：

spec:
  workspaces:
    - name: shared-workspace
      persistentVolumeClaim:
        claimName: your-pvc-name  # 替换为你的PVC名称
    - name: git-auth-workspace
      secret:
        secretName: git-secret  # 关联已创建的git-secret

2. 用ServiceAccount关联Secret #

创建一个绑定了git-secret的ServiceAccount，然后在PipelineRun中指定该ServiceAccount，git-clone Task会自动从ServiceAccount读取认证信息。

首先创建ServiceAccount：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: git-sa
  namespace: my-build-standalone
secrets:
  - name: git-secret

在PipelineRun中指定使用该ServiceAccount：

apiVersion: tekton.dev/v1beta1
kind: PipelineRun
metadata:
  generateName: fetch-repo-run-
  namespace: my-build-standalone
spec:
  serviceAccountName: git-sa  # 指定关联的ServiceAccount
  pipelineRef:
    name: your-pipeline-name  # 替换为你的流水线名称
  params:
    - name: git-url
      value: "your-tfs-repo-url"
    - name: git-revision
      value: "main"
  workspaces:
    - name: shared-workspace
      persistentVolumeClaim:
        claimName: your-pvc-name

3. SSH认证（TFS支持时使用） #

如果你的TFS服务器允许SSH访问，可以创建SSH类型的Secret，同样通过Workspace或ServiceAccount传递给git-clone Task。

创建SSH Secret：

apiVersion: v1
kind: Secret
metadata:
  name: git-ssh-secret
  namespace: my-build-standalone
type: kubernetes.io/ssh-auth
stringData:
  ssh-privatekey: |
    -----BEGIN RSA PRIVATE KEY-----
    # 粘贴你的SSH私钥内容
    -----END RSA PRIVATE KEY-----
  known_hosts: |
    # 粘贴TFS服务器的known_hosts条目（可选，不填则跳过主机验证）

修改流水线任务配置：

- name: fetch-repository
  taskRef:
    kind: ClusterTask
    name: git-clone
  params:
    - name: URL
      value: "git@tfs-server-address:your-repo-path.git"  # SSH格式的仓库地址
    - name: subdirectory
      value: ''
    - name: deleteExisting
      value: 'true'
    - name: revision
      value: $(params.git-revision)
    - name: sslVerify
      value: 'false'
  workspaces:
    - name: output
      workspace: shared-workspace
    - name: ssh-directory  # 用于传递SSH认证的workspace
      workspace: git-ssh-workspace

在Pipeline的spec中定义Workspace：

spec:
  workspaces:
    - name: shared-workspace
      persistentVolumeClaim:
        claimName: your-pvc-name
    - name: git-ssh-workspace
      secret:
        secretName: git-ssh-secret

4. 明文传递参数（仅测试用，禁止生产环境使用） #

如果只是临时测试，可以直接将用户名和密码作为Pipeline参数传递，但生产环境绝对不能用这种方式，因为参数会被明文存储在PipelineRun资源中。

修改流水线任务配置：

- name: fetch-repository
  taskRef:
    kind: ClusterTask
    name: git-clone
  params:
    - name: URL
      value: $(params.git-url)
    - name: subdirectory
      value: ''
    - name: deleteExisting
      value: 'true'
    - name: revision
      value: $(params.git-revision)
    - name: sslVerify
      value: 'false'
    - name: username
      value: $(params.git-username)
    - name: password
      value: $(params.git-password)
  workspaces:
    - name: output
      workspace: shared-workspace

在PipelineRun中传入参数：

params:
  - name: git-username
    value: "your-tfs-username"
  - name: git-password
    value: "your-tfs-password"

内容的提问来源于stack exchange，提问作者Yaseen