Azure DevOps流水线中Terraform为何读取Master分支而非指定分支？

Terraform模块配置 #

我的main.tf中引用了Azure DevOps上另一个仓库的模块：

module "ModuleName" {
  source = "git::https://OrgName@dev.azure.com/OrgName/SW/_git/AnotherRepoName?ref=BranchName"
}

Azure DevOps流水线配置 #

流水线基于ubuntu-latest运行：

trigger:
  - None

pool:
  vmImage: 'ubuntu-latest'

对应的PowerShell任务如下：

- task: PowerShell@2
           displayName: powershell-job
           inputs:
             workingDirectory: '$(System.DefaultWorkingDirectory)/BranchPolicies/Terraform'
             targetType: 'inline'
             script: |
               write-host '$(SYSTEM_ACCESSTOKEN)'
               pwd
               $env:SYSTEM_ACCESSTOKEN = "$(System.AccessToken)"
               write-host '$(system.accesstoken)'
               git config --global http.https://dev.azure.com/OrgName/Infra.extraheader "AUTHORIZATION: bearer $env:SYSTEM_ACCESSTOKEN"
               terraform init
               terraform plan
               
           env:
             SYSTEM_ACCESSTOKEN: $(system.accesstoken)

执行错误 #

运行terraform plan时抛出如下错误：

│ Could not download module "ModuleName" (main.tf:58) source code from
│ "git::https://OrgName@dev.azure.com/OrgName/SW/_git/AnotherRepoName?ref=BranchName":
│ error downloading
│ 'https://OrgName@dev.azure.com/OrgName/SW/_git/AnotherRepoName?ref=BranchName':
│ /usr/bin/git exited with 1: error: pathspec 'master' did not match any
│ file(s) known to git

原因分析 #

核心问题是Git认证配置的作用域不匹配，导致Terraform克隆模块仓库时无法携带正确的访问凭证，进而无法获取指定的BranchName分支，最终Git尝试拉取默认分支master，但目标仓库不存在该分支，引发报错。

具体来说：
你在PowerShell脚本中配置的Git额外头信息是针对https://dev.azure.com/OrgName/Infra路径的，但模块所在的仓库路径是https://dev.azure.com/OrgName/SW/_git/AnotherRepoName，属于SW项目而非Infra项目，所以这个认证配置不会应用到模块仓库的克隆请求中。没有有效凭证的情况下，Git无法访问指定分支，只能尝试拉取仓库默认分支（这里是master），而目标仓库没有master分支，就出现了pathspec 'master' did not match any file(s)的错误。

解决方法 #

• 调整Git认证配置的作用域
  将Git配置的路径修改为匹配模块所在的项目，或者扩大到整个组织级别：

  • 针对SW项目：

    git config --global http.https://dev.azure.com/OrgName/SW.extraheader "AUTHORIZATION: bearer $env:SYSTEM_ACCESSTOKEN"
    

  • 针对整个组织（推荐，避免后续新增项目重复配置）：

    git config --global http.https://dev.azure.com/OrgName.extraheader "AUTHORIZATION: bearer $env:SYSTEM_ACCESSTOKEN"
    

• 确保流水线服务账号有仓库权限
  检查Azure DevOps中，流水线使用的服务账号（通常是项目集合构建服务账号）是否拥有AnotherRepoName仓库的读取权限，没有的话需要在仓库的权限设置中添加。

• 直接在模块源中传入凭证（可选）
  可以将AccessToken直接嵌入到模块的source URL中（注意敏感信息的安全处理）：

  module "ModuleName" {
    source = "git::https://$(SYSTEM_ACCESSTOKEN)@dev.azure.com/OrgName/SW/_git/AnotherRepoName?ref=BranchName"
  }
  

  这种方式需要确保流水线中正确传递环境变量，并且Terraform能解析该变量。

内容的提问来源于stack exchange，提问作者AditYa