如何复用GitHub应用创建的Azure DevOps服务连接拉取GitHub仓库？

我们在Azure DevOps流水线里针对现有基础设施触发terraform plan操作，在terraform init阶段，Terraform得从外部GitHub仓库下载模块。最初运行时碰到了这个错误：

fatal: could not read Username for 'https://github.com': terminal prompts disabled

当时我们用内联GitHub PAT，通过配置全局Git替代URL解决了问题，命令是：

git config --global url."https://$(GITHUB-USER-ACCT):$(GITHUB-PERSONAL-ACCESS-TOKEN)@github.com".insteadOf https://github.com

但维护PAT太麻烦，现在想换成基于GitHub应用创建的Azure DevOps GitHub服务连接做认证——这个服务连接已经有Terraform模块所在仓库的读取权限了，但试了之后Terraform还是没法从流水线拉取目标GitHub仓库。

想问：有没有办法在脚本任务里复用这个GitHub服务连接来克隆GitHub仓库？

可以通过以下几种方式复用Azure DevOps的GitHub服务连接，让Terraform正常拉取模块：

1. 用服务连接生成临时令牌配置Git #

在terraform init任务之前加个命令行脚本任务，利用Azure DevOps内置工具获取服务连接的访问令牌，然后配置Git的替代URL：

# 从指定的GitHub服务连接中获取访问令牌，$(SERVICE_ENDPOINT_ID)是服务连接的ID（在项目设置→服务连接里找）
TOKEN=$(az devops service-endpoint github get --id $(SERVICE_ENDPOINT_ID) --query "authorization.parameters.accessToken" -o tsv)

# 配置Git用令牌替代账号密码，Terraform拉取模块时会自动用这个认证
git config --global url."https://x-access-token:${TOKEN}@github.com".insteadOf https://github.com

注意：得确保流水线已经关联了这个服务连接，并且服务连接有目标仓库的读取权限。

2. 提前用Checkout任务克隆模块仓库（简单直接） #

如果模块仓库已经授权给服务连接，也可以先通过Azure DevOps的「Checkout」任务把模块仓库克隆到流水线工作目录，然后在Terraform配置里直接用本地路径引用模块，彻底绕开远程拉取的认证问题：

module "example" {
  source = "./modules/example-module" # 本地路径，不用写GitHub远程URL
}

这种方式完全复用服务连接的权限，不用额外配置Git，省心。

3. 配置Git凭据助手自动注入认证（推荐） #

还可以给Git配置一个自定义凭据助手，让Terraform拉取模块时自动用服务连接的令牌认证：

# 配置Git凭据助手，当需要认证GitHub时自动返回服务连接的令牌
git config --global credential.helper "!f() { echo \"username=azuredevops\"; echo \"password=$(az devops service-endpoint github get --id $(SERVICE_ENDPOINT_ID) --query 'authorization.parameters.accessToken' -o tsv)\"; }; f"

执行完这个命令，Terraform在init时会自动调用这个助手获取认证信息，不用手动写替代URL。

• 服务连接的权限要够：必须包含Terraform模块所在仓库的读取权限
• 流水线要能访问服务连接：在流水线编辑页的「变量→服务连接」里，确认已经授权流水线使用这个服务连接
• 清理全局配置：如果流水线后面还有其他Git操作，建议任务结束后重置Git配置，避免影响后续任务：

  git config --global --unset url."https://x-access-token:${TOKEN}@github.com".insteadOf
  

内容的提问来源于stack exchange，提问作者Athiththan