Azure DevOps Pipeline调用GitHub中Terraform模块时init失败求助

问题分析 #

当前错误根源是：Terraform初始化模块时，通过HTTPS克隆GitHub仓库需要身份认证，但Azure DevOps的GitHub服务连接仅用于Pipeline拉取主仓库代码，Terraform自身执行git clone时无法继承该认证上下文，终端禁止交互的情况下无法提供用户名密码，最终触发Git错误码128。

解决方案 #

方案1：使用本地相对路径引用模块（推荐） #

由于模块与环境配置文件在同一个GitHub仓库内，完全无需通过Git远程下载，直接使用本地相对路径即可跳过认证环节：

1. 打开environments/dev/modules.tf，修改模块的source字段：

   # 原远程引用方式（触发克隆认证）
   module "storage" {
     source = "git::https://github.com/username/terraform.git//modules/storage?ref=v0.0.1"
     # 其他模块参数...
   }
   
   # 修改为相对路径（根据实际目录层级调整）
   module "storage" {
     source = "../../modules/storage"
     # 其他模块参数...
   }
   

2. 重新运行Pipeline，Terraform会直接读取本地模块文件，跳过Git克隆步骤，彻底避免认证问题。

方案2：注入GitHub PAT实现远程模块认证 #

如果必须使用带版本标签的远程模块引用，需要给Terraform提供GitHub认证凭证：

1. 生成GitHub PAT：
   在GitHub账号的「Settings → Developer settings → Personal access tokens」中创建PAT，仅勾选repo权限（仅需读取权限）。
2. 存储PAT到Azure DevOps：
   在Azure DevOps项目的「Library → 变量组」中添加变量GITHUB_PAT，值为刚生成的PAT，勾选「Keep this value secret」保护凭证。
3. 修改Pipeline配置：
   在Terraform init步骤前添加Git凭证配置，让Terraform克隆模块时自动使用认证信息：

   steps:
     # ... 已有的Terraform安装步骤
     - bash: |
         git config --global credential.helper store
         echo "https://$(GITHUB_PAT):x-oauth-basic@github.com" > ~/.git-credentials
       displayName: '配置Git GitHub认证凭证'
       env:
         GITHUB_PAT: $(GITHUB_PAT)
     # ... 后续的Terraform init/plan步骤
   

方案3：通过Terraform变量动态替换模块源 #

若需保留版本引用，可通过Terraform变量传递带PAT的模块源地址：

1. 在environments/dev/variables.tf中添加变量：

   variable "module_source_prefix" {
     type        = string
     description = "带GitHub认证的模块源前缀"
   }
   

2. 修改modules.tf的source字段：

   module "storage" {
     source = "${var.module_source_prefix}/username/terraform.git//modules/storage?ref=v0.0.1"
     # 其他模块参数...
   }
   

3. 在Pipeline的Terraform init步骤中传递变量：

   - task: ms-devlabs.custom-terraform-tasks.custom-terraform-release-task.TerraformTaskV3@3
     displayName: 'Terraform : init'
     inputs:
       workingDirectory: '$(System.DefaultWorkingDirectory)/environments/dev'
       # ... 已有的backend配置
       commandOptions: '-var module_source_prefix="git::https://$(GITHUB_PAT)@github.com"'
   

验证 #

修改完成后重新运行Pipeline，Terraform init阶段应能成功加载模块，不再出现认证错误。

内容的提问来源于stack exchange，提问作者Viacheslav Stepko