Azure DevOps中通过Terraform模块部署基础设施遇连接问题

一、修正Git URL替换脚本 #

你之前的脚本可能存在缩进或匹配规则不精准的问题，调整后的脚本如下，记得把<<org>>替换为你的实际组织名称：

- script: |
    git config --global url."https://$SYSTEM_ACCESSTOKEN@dev.azure.com/<<org>>/".insteadOf "https://<<org>>@dev.azure.com/<<org>>/"
  displayName: "配置Git使用系统令牌访问ADO仓库"
  env:
    SYSTEM_ACCESSTOKEN: $(System.AccessToken)

关键注意点：

• 确保insteadOf的URL前缀和Terraform模块引用的路径完全匹配，比如模块源是git::https://<<org>>@dev.azure.com/<<org>>/tf-modules/_git/az_key_vault，替换规则要精准覆盖该前缀。
• 检查权限：调用模块的项目中，构建服务账户（<<org>> Build Service (<project>)）必须拥有模块所在项目的读取者角色，且在目标模块仓库的权限设置中，该账户被赋予Git仓库的读取权限。

二、托管标识认证的正确配置 #

托管标识确实支持Azure DevOps Git认证，但需要满足以下条件并正确配置：

1. 使用Azure托管代理：只有微软托管的代理支持自动用托管标识完成ADO Git认证，自托管代理需要额外配置凭据获取逻辑。
2. 赋予托管标识权限：
   • 给代理的托管标识（微软托管代理默认用Azure Pipelines服务主体；用户分配的托管标识需指定）赋予模块所在项目的读取者角色。
   • 在目标模块仓库的权限设置中，将托管标识添加为读取者或贡献者（至少需要读取权限）。
3. 配置Git使用托管标识：
   微软托管代理预装了azure-devops-cli，可通过以下脚本配置Git认证：

   - script: |
       az devops login --org https://dev.azure.com/<<org>> --identity
       git config --global credential.helper "az devops credential helper"
     displayName: "配置Git使用托管标识访问ADO"
   

   该命令会让Git自动通过托管标识获取凭据，无需手动处理令牌。
4. 修正Terraform模块源URL：确保模块引用的是标准ADO Git格式，无需添加用户名或令牌，比如：

   module "key_vault" {
     source = "git::https://dev.azure.com/<<org>>/tf-modules/_git/az_key_vault//modules/keyvault"
   }
   

三、排查“repository az_key_vault could not be found”错误 #

这个错误通常由以下原因导致：

• 路径错误：检查Terraform的source字段是否完全正确，包括组织名、项目名、仓库名，以及指定的分支/标签（如果有）。
• 权限不足：即使配置了认证，托管标识或构建服务账户没有仓库的读取权限，也会触发找不到仓库的提示。
• Git配置未生效：确保在terraform init之前执行Git配置脚本，可在脚本中添加git config --list命令，验证配置是否正确应用。

内容的提问来源于stack exchange，提问作者Deep