Terraform Cloud调用GitHub App报forbidden错误，如何恢复运行？

问题背景 #

我用以下Terraform配置通过CLI管理Terraform Cloud，之前能正常运行，时隔数月再用出现问题，怀疑是令牌过期或配置遗漏：

terraform {
  required_providers {
    tfe = {
      source = "hashicorp/tfe"
    }
  }
}


data "tfe_github_app_installation" "gha_installation" {
  installation_id = 45797187
}

resource "tfe_workspace" "core-auth0" {
  name         = "core-auth0"
  description = "Auth0 configuration"

  organization = var.organization
  project_id = var.auth0_project_id

  working_directory = "src"
  queue_all_runs = true
  file_triggers_enabled = false

  vcs_repo {
    identifier = "exporio-infra/infra-core-auth0"
    branch     = "main"
    github_app_installation_id = data.tfe_github_app_installation.gha_installation.id
    ingress_submodules   = false
  }

}

已执行操作 #

• 重新安装GitHub App成功
• 设置环境变量：export GITHUB_TOKEN=ghp_dS<redacted>
• 设置环境变量：export TF_VAR_tfcloud_api_token=KZn<redacted>

错误信息 #

执行terraform refresh时触发如下错误：

terraform refresh                                            
module.xxxx-organization.module.workspaces.module.core-auth0.data.tfe_github_app_installation.gha_installation: Reading...
module.xxxx-organization.tfe_organization.exporio: Refreshing state... [id=xxxx]
module.xxxx-organization.module.projects.tfe_project.auth0: Refreshing state... [id=prj-MdMmD3yVHmk6mE]
module.xxxx-organization.module.varsets.module.auth0-dev.tfe_variable_set.auth0_dev: Refreshing state... [id=varset-xxx]

╷
│ Error: error retrieving Github App Installations: forbidden
│ 
│ Team and Organization Tokens are not supported
│ 
│   with module.xxx-organization.module.workspaces.module.core-auth0.data.tfe_github_app_installation.gha_installation,
│   on modules/organisations/xxxx/modules/workspaces/modules/core-auth0/main.tf line 10, in data "tfe_github_app_installation" "gha_installation":
│   10: data "tfe_github_app_installation" "gha_installation" {

我的GITHUB_TOKEN是拥有全部权限的GitHub个人访问令牌，请问还需配置什么才能让terraform refresh正常运行？

解决方案 #

1. 更换Terraform Cloud令牌类型 #

错误提示明确说明团队令牌和组织令牌不被支持，data "tfe_github_app_installation"需要使用用户级个人令牌才能访问GitHub App安装信息：

• 登录Terraform Cloud，进入「个人设置」→「令牌」页面
• 创建新的用户级个人令牌，确保勾选read:github_app权限（或直接勾选全部权限）
• 将环境变量TF_VAR_tfcloud_api_token替换为这个新的用户令牌

2. 正确配置tfe provider的令牌来源 #

你的配置未显式指定tfe provider的令牌，默认会读取环境变量TFE_TOKEN而非TF_VAR_tfcloud_api_token，需调整配置：

• 方式一：设置环境变量：export TFE_TOKEN=你的用户级令牌
• 方式二：在Terraform代码中显式配置provider：

provider "tfe" {
  token = var.tfcloud_api_token
}

同时确保变量var.tfcloud_api_token已正确定义并传入用户级令牌。

3. 验证GitHub App关联权限 #

确认重新安装的GitHub App已正确关联到你的Terraform Cloud组织，且安装权限覆盖了目标仓库exporio-infra/infra-core-auth0。

内容的提问来源于stack exchange，提问作者toinbis