如何在Azure DevOps跨组织项目间直接引用Terraform模块

你的需求 #

在Azure DevOps流水线中，从一个组织的项目直接调用另一组织项目内的Terraform模块：

• 禁止使用全局Git配置注入PAT（IT团队明确此操作会破坏代理上的后续流水线）
• 无需克隆整个模块仓库，直接引用指定模块资源

可行方案：局部Git配置+Terraform Git模块源 #

1. 保留现有跨组织服务连接 #

你之前配置的Repo-bp-digital服务连接可继续使用，需确保该连接拥有目标组织仓库的只读权限。

2. 修改Terraform模块引用方式 #

在你的Terraform配置文件中，直接通过Git源指向目标模块的具体路径，无需克隆整个仓库，示例代码：

module "target_module" {
  source = "git::https://dev.azure.com/<目标组织名>/<目标项目名>/_git/<模块仓库名>//<模块所在子路径>?ref=<分支/标签>"

  # 填写模块所需参数
  instance_count = 2
  environment    = "test"
}

3. 流水线中添加局部Git认证配置 #

在流水线的Terraform初始化步骤前，仅对当前工作目录设置Git认证（不会修改全局.gitconfig），示例流水线代码：

steps:
- task: AzureCLI@2
  inputs:
    azureSubscription: "<你的服务连接名>"
    scriptType: bash
    inlineScript: |
      # 从服务连接中获取PAT（需确保服务连接允许读取凭证）
      MY_PAT=$(az devops service-endpoint list --name "Repo-bp-digital" --query "[0].authorization.parameters.personalAccessToken" -o tsv)
      # 仅为当前目录设置Git认证，不影响全局配置
      git config http.extraheader "Authorization: Basic $(printf "%s"":$MY_PAT" | base64)"
      # 执行Terraform操作
      terraform init
      terraform plan

若无法通过AzureCLI获取PAT，可将PAT存储在Azure DevOps变量组中并设为保密变量，直接在流水线中引用即可。

替代方案：使用Terraform HTTP源 #

若不想修改Git配置，可利用Azure DevOps的模块文件直接下载URL作为Terraform模块源：

1. 在目标组织仓库中，找到对应模块目录的terraform.tf文件，复制其原始文件URL（格式示例：https://dev.azure.com/<组织名>/<项目名>/_git/<仓库名>/raw?path=<模块路径>/terraform.tf&ref=<分支>）
2. 在流水线中通过环境变量传递认证信息，Terraform会自动使用该请求头拉取模块：

steps:
- task: TerraformCLI@0
  inputs:
    command: init
    workingDirectory: "$(System.DefaultWorkingDirectory)"
  env:
    TERRAFORM_HTTP_HEADER_Authorization: "Basic $(printf "%s"":$(MODULE_PAT)" | base64)"

其中MODULE_PAT为存储在变量组中的目标仓库只读PAT。

方案优势 #

• 局部Git配置仅对当前流水线工作目录生效，不会污染代理全局配置，符合IT团队要求
• Terraform直接拉取指定模块路径，无需克隆整个仓库，提升流水线执行效率
• 依托Azure DevOps服务连接或保密变量管理凭证，满足安全规范

内容的提问来源于stack exchange，提问作者PRAVEEN PDBR