Azure Pipelines长时间构建后无法为GitHub仓库打标签：凭证过期

问题原因 #

Azure Pipeline中persistCredentials: true生成的临时Git凭证默认有效期为1小时，当镜像构建任务耗时超过1小时后，凭证失效，导致后续git push/tag操作因无有效权限报错：

fatal: could not read Username for ‘https://github.com’: terminal prompts disabled

解决方案 #

方法1：使用GitHub PAT替代临时凭证 #

直接使用GitHub个人访问令牌（PAT）作为git操作的凭证，不受1小时有效期限制：

1. 在GitHub创建PAT，勾选repo权限（仅赋予必要权限）。
2. 在Azure Pipeline的变量中添加保密变量GITHUB_PAT，值为刚创建的PAT。
3. 修改打标签的pwsh任务，替换远程仓库URL为带PAT的地址：

git config --global user.email "AzureDevOps@AzureDevOps.com"
git config --global user.name "Azure DevOps Build Service"

# 替换远程仓库地址，注入PAT凭证
git remote set-url origin https://$(GITHUB_PAT)@github.com/[你的GitHub用户名]/[你的仓库名].git

git checkout $(Build.SourceBranchName)

git add --all
git commit -m "Example Tag"
git push origin $(Build.SourceBranchName)

git tag $(Tag)
git push --tags

方法2：拆分流水线为构建+打标签两个阶段 #

将镜像构建和打标签拆分为两个独立的Azure Pipeline：

1. 第一个流水线仅负责镜像构建，完成后将必要的参数（如Tag值、分支名）传递给第二个流水线。
2. 第二个流水线专门执行git打标签操作，其临时凭证是全新生成的，不会因前序构建耗时过长而过期。
3. 在第一个流水线中配置触发规则，构建完成后自动启动第二个流水线。

方法3：延长临时凭证有效期（仅适用于Azure DevOps Server） #

如果使用的是私有部署的Azure DevOps Server，可以通过修改服务器配置延长临时凭证有效期：

• 在服务器上运行以下命令（需管理员权限）：

  az devops admin git settings update --token-validity-in-hours 2 --org https://devops-server-url/
  

• 注意：云版Azure DevOps不支持自定义此参数，该方法仅适用于私有部署环境。

内容的提问来源于stack exchange，提问作者jfdevops