GitHub Actions因权限不足提交失败，组织管理员该如何配置？

1. 配置带仓库读写权限的GitHub Token #

• 优先创建细粒度个人访问令牌（Fine-grained PAT），也可使用组织级令牌：
  • 权限需勾选仓库的读写权限（包含contents、PR等），若涉及打标签，还要开启标签的读写权限
  • 绑定到目标仓库，或设置为组织全局可用，按需选择
• 将该令牌存储为仓库的Secrets（组织级或仓库级均可），比如命名为RELEASE_GIT_TOKEN

2. 在Action中配置Git认证信息 #

• 修改Workflow文件，可选择两种方式：
  • 执行Maven命令前替换Git远程地址为HTTPS格式，用令牌认证：

    git remote set-url origin https://${{ secrets.RELEASE_GIT_TOKEN }}@github.com/你的组织名/仓库名.git
    

  • 直接在Maven命令中传入令牌作为用户名：

    mvn release:prepare -Dusername=${{ secrets.RELEASE_GIT_TOKEN }} -Dpassword=
    

3. 检查组织与仓库的权限设置 #

• 确保Action使用的身份（默认GITHUB_TOKEN或自定义令牌）在组织和仓库层面拥有提交代码、创建标签的权限：
  • 进入组织的Settings → Repository permissions，确认对应令牌或服务账号的权限为Write及以上
  • 若使用GitHub托管的Runner，前往仓库的Settings → Actions → General，确认Workflow具备读写仓库内容的权限

4. 若使用SSH协议需配置密钥（可选） #

• 坚持用SSH而非HTTPS的话，需完成以下配置：
  • 生成SSH密钥对，将公钥添加至组织的Settings → SSH and GPG keys中
  • 将私钥存储为仓库Secrets，比如命名为SSH_PRIVATE_KEY，并在Action中加载：

    eval "$(ssh-agent -s)"
    echo "${{ secrets.SSH_PRIVATE_KEY }}" | tr -d '\r' | ssh-add -
    

  • 信任GitHub的SSH主机密钥，在Action中添加：

    mkdir -p ~/.ssh
    ssh-keyscan github.com >> ~/.ssh/known_hosts
    

内容的提问来源于stack exchange，提问作者JeanValjean