跨仓库调用Github Actions复用工作流时AWS CodeBuild Runner挂起问题

核心排查方向 #

• 检查CodeBuild项目的触发权限与源配置
  跨仓库调用时，需确保CodeBuild项目的源设置包含调用方GitHub仓库，且触发规则覆盖workflow_run或repository_dispatch事件（跨仓库复用工作流的触发本质是触发源仓库的工作流事件）。同时确认CodeBuild服务角色具备拉取调用仓库代码、与GitHub Actions交互的权限。

• 验证GITHUB_TOKEN的传递与权限
  调用方仓库在触发复用工作流时，需显式传递GITHUB_TOKEN，示例配置：

  jobs:
    invoke-reusable:
      uses: <源仓库所有者>/<源仓库名>/.github/workflows/<复用工作流文件名>.yml@<分支/标签>
      secrets:
        GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
  

  源仓库的复用工作流中，需确保该token拥有workflow权限，且能被CodeBuild运行器正确识别以获取上下文。

• 核对CodeBuild运行器名称匹配逻辑
  你配置的runs-on: codebuild-XXX-XXX-${{ github.run_id }}-${{ github.run_attempt }}，需确认跨仓库触发时，生成的运行器名称对应的CodeBuild项目是否实际存在。可登录AWS控制台查看是否有对应名称的CodeBuild任务被触发或创建，若不存在，说明动态命名/创建逻辑存在问题。

• 排查日志定位问题环节

  • 在GitHub Actions调用方的工作流日志中，查看是否有自托管运行器相关的错误提示；
  • 在AWS CodeBuild控制台，检查是否有对应任务启动，若启动失败，查看具体错误日志（如权限不足、网络连接问题）；
  • 若CodeBuild任务未启动，重点排查触发环节的配置。

• 确认Webhook配置有效性
  检查调用仓库的GitHub Webhook记录（仓库Settings -> Webhooks），确认是否有成功交付的记录。若存在失败记录，根据错误信息修复：

  • 若为403权限错误，需调整CodeBuild服务角色的权限；
  • 若为事件不匹配，需确保Webhook订阅了workflow_dispatch和workflow_run事件，且Secret与CodeBuild配置一致。

内容的提问来源于stack exchange，提问作者Grilla99