Azure Pipelines无法从Azure Repos克隆Terraform模块问题

错误原因分析 #

1. Terraform模块源的URL格式错误：你在source字段中添加了多余的单引号，导致URL被错误编码（比如%27），Git无法正确解析认证信息。
2. 硬编码PAT到模块源中既不安全，也会因为特殊字符编码问题导致认证失败。
3. Azure Pipeline的运行环境默认禁用终端交互提示，Git无法弹出输入密码的窗口，必须提前配置好凭证。

解决方案步骤 #

1. 修正Terraform模块源格式 #

修改infra/main.tf中的模块源，去掉多余的单引号和硬编码的PAT，只保留仓库地址和版本标签：

module "resource_group" {
  source           = "git::https://dev.azure.com/interfloraau/Spring/_git/spring-terraform-azurerm-resourcegroup?ref=0.2.0"
  location         = var.location
  application_name = var.application_name
  environment_name = var.environment_name
  department       = var.department
  cost_centre      = var.cost_centre
}

2. 配置Azure Pipeline的Git认证（推荐使用内置OAuth令牌） #

在Pipeline中启用脚本访问OAuth令牌，并配置Git凭证助手，让Terraform可以通过Pipeline的身份访问Azure Repos：

修改后的完整Pipeline YAML：

trigger:
- feature/iac_create

pool:
  vmImage: ubuntu-latest

steps:
- script: |
    pwd  
    ls -larth
    cd infra/
  displayName: "检查当前运行目录"

# 配置Git凭证，使用Azure Pipeline的OAuth令牌访问Azure Repos
- script: |
    git config --global credential.helper store
    echo "https://$(System.AccessToken)@dev.azure.com" > ~/.git-credentials
  displayName: "配置Git凭证访问Azure Repos"
  env:
    SYSTEM_ACCESSTOKEN: $(System.AccessToken)

- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'init'
    backendServiceArm: 'Development(xxxxxxxxxxxxxxxxxxxxxx)'
    backendAzureRmResourceGroupName: 'terraform-state-files'
    backendAzureRmStorageAccountName: 'sttfstateinterfloradev'
    backendAzureRmContainerName: 'dev-commercetoolstod365handler'
    backendAzureRmKey: 'dev.tfstate'
    workingDirectory: '$(System.DefaultWorkingDirectory)/infra'

- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'plan'
    commandOptions: '-var-file=dev.tfvars -out=tfplan'
    workingDirectory: '$(System.DefaultWorkingDirectory)/infra'

- task: TerraformTaskV4@4
  inputs:
    provider: 'azurerm'
    command: 'apply'
    commandOptions: '-var-file=dev.tfvars tfplan'
    workingDirectory: '$(System.DefaultWorkingDirectory)/infra'

3. 启用Pipeline的脚本访问OAuth令牌 #

在Azure DevOps的Pipeline编辑页面，点击右上角的「编辑」→「变量」→「流水线权限」，找到「允许脚本访问OAuth令牌」选项并勾选启用。

备选方案（使用PAT，适用于跨组织访问） #

如果模块仓库在另一个Azure DevOps组织，需要使用PAT：

1. 在Azure DevOps中创建一个具有代码读取权限的PAT。
2. 在Pipeline的「变量」中添加一个秘密变量（比如AZURE_DEVOPS_PAT），将PAT值填入。
3. 修改Git凭证配置步骤：

- script: |
    git config --global credential.helper store
    echo "https://your-username:$(AZURE_DEVOPS_PAT)@dev.azure.com" > ~/.git-credentials
  displayName: "配置Git凭证访问Azure Repos"

内容的提问来源于stack exchange，提问作者learner