如何用Terraform和cloud-init将代码库克隆至无仓库访问权限的新Linux实例？

你之前的脚本无法运行的核心原因是虚拟机实例没有访问私有代码库的权限，下面是几个可行的解决方向：

方案一：通过SSH密钥注入实现无密码克隆 #

这是最安全且常用的长期解决方案：

1. 准备SSH密钥对：可通过Terraform生成或使用已有密钥，将公钥添加到代码库的「部署密钥」中（仅开启只读权限即可）。
2. 在cloud-init脚本中配置实例的SSH密钥，确保git能自动用该密钥访问代码库：

part {
  content_type = "text/x-shellscript"
  content      = <<-EOF
    #!/bin/bash
    # 创建.ssh目录并设置安全权限
    mkdir -p ~/.ssh
    chmod 700 ~/.ssh
    # 写入私钥（建议通过Terraform变量传入，不要硬编码）
    cat << 'KEY' > ~/.ssh/id_rsa
    -----BEGIN RSA PRIVATE KEY-----
    你的私钥内容
    -----END RSA PRIVATE KEY-----
    KEY
    chmod 600 ~/.ssh/id_rsa
    # 添加代码库主机到已知主机列表，避免首次克隆的交互提示
    ssh-keyscan github.com >> ~/.ssh/known_hosts
    # 用SSH地址克隆代码库
    rm -rf ~/tmp/myrepo
    git clone git@github.com:你的用户名/myrepo.git ~/tmp/myrepo
  EOF
}

方案二：使用临时访问令牌（适合短期场景） #

针对GitHub/GitLab等托管平台，可生成临时只读访问令牌嵌入到HTTPS克隆地址：

1. 在代码库平台生成一个仅拥有仓库只读权限的访问令牌。
2. 在Terraform中通过敏感变量传入令牌，修改cloud-init脚本：

variable "repo_token" {
  type        = string
  description = "私有代码库的只读访问令牌"
  sensitive   = true
}

part {
  content_type = "text/x-shellscript"
  content      = <<-EOF
    #!/bin/bash
    rm -rf ~/tmp/myrepo
    # 嵌入令牌到HTTPS地址完成克隆
    git clone https://${var.repo_token}@github.com/你的用户名/myrepo.git ~/tmp/myrepo
  EOF
}

方案三：Terraform本地克隆后同步到实例 #

如果Terraform运行环境有权限访问代码库，可先在本地克隆，再同步到实例：

1. 用null_resource执行本地克隆命令。
2. 通过file provisioner将整个代码库目录同步到虚拟机：

# 本地克隆代码库
resource "null_resource" "clone_repo" {
  provisioner "local-exec" {
    command = "git clone --depth=1 https://github.com/你的用户名/myrepo.git ./tmp/myrepo"
  }
}

# 虚拟机实例配置
resource "aws_instance" "example" {
  # 实例基础配置...

  provisioner "file" {
    source      = "./tmp/myrepo"
    destination = "/home/ubuntu/tmp/myrepo"
    connection {
      type        = "ssh"
      user        = "ubuntu"
      private_key = file("~/.ssh/id_rsa")
      host        = self.public_ip
    }
  }

  # 确保本地克隆完成后再同步
  depends_on = [null_resource.clone_repo]
}

内容的提问来源于stack exchange，提问作者Shaz