GitHub私有组织内Terraform模块克隆失败：权限被拒问题排查

问题原因 #

你当前的.gitconfig替换规则仅匹配ssh://git@github.com格式的URL，但Terraform模块源使用的是git@github.com:private-org/example-module.git这种SSH简写格式，替换规则未覆盖该场景，导致Terraform仍尝试用SSH认证。而GitHub Actions runner默认没有对应私有仓库的SSH密钥，因此触发权限拒绝错误。

方案一：修正gitconfig的HTTPS替换规则（推荐） #

调整.gitconfig的替换规则，覆盖git@github.com:格式的URL，让Git自动将SSH格式转为带GITHUB_TOKEN的HTTPS格式：

[url "https://${GITHUB_TOKEN}@github.com/"]
    insteadOf = "git@github.com:"

在GitHub Actions中直接通过命令配置，无需提前编写文件再替换，更简洁可靠：

- name: 配置Git使用HTTPS认证
  run: |
    git config --global url."https://${{ secrets.GITHUB_TOKEN }}@github.com/".insteadOf "git@github.com:"

配置完成后，Terraform执行init时会自动用GITHUB_TOKEN完成私有模块的拉取。

方案二：配置SSH认证（若坚持使用SSH） #

如果必须用SSH方式拉取，需在GitHub Actions中注入有权限访问私有模块的SSH密钥：

1. 在GitHub仓库的「Settings -> Secrets and variables -> Actions」中添加私钥（命名为SSH_PRIVATE_KEY），该私钥需拥有目标私有模块仓库的读取权限。
2. 在Workflow中配置SSH环境：

- name: 配置SSH访问GitHub
  run: |
    mkdir -p ~/.ssh
    echo "${{ secrets.SSH_PRIVATE_KEY }}" > ~/.ssh/id_rsa
    chmod 600 ~/.ssh/id_rsa
    ssh-keyscan github.com >> ~/.ssh/known_hosts

完成后Terraform即可通过SSH密钥成功克隆私有模块。

额外注意事项 #

• 若私有模块在当前仓库以外的组织/仓库，需确保GITHUB_TOKEN拥有对应仓库的读取权限：可在Workflow的jobs.<job-name>.permissions中配置contents: read，或使用拥有跨组织权限的个人访问令牌（PAT）替代默认GITHUB_TOKEN。
• 确认Terraform模块源中指定的ref（如v1.0.0）是目标仓库中存在的有效标签或分支。

内容的提问来源于stack exchange，提问作者jipot