Azure DevOps跨项目Terraform模块引用认证失败问题求助

问题 #

我有一个Azure DevOps账户，包含Project A和Project B两个项目：

• Project A下有3个仓库，分别对应3个Terraform模块：虚拟网络模块、资源组模块、虚拟机模块
• Project B里配置了流水线和main.tf文件，想通过source字段直接调用Project A的模块，不用脚本预下载，还要能通过发布标签引用模块的不同版本

当前模块引用代码：

module "az-resource-group" {
  source = "git::https://dev.azure.com/loredan6/Terraform%20Code/_git/ResourceGroup"
  # Resource Group Variables

  az_rg_name     = "ResourceGroup-Name"
  az_rg_location = "UK South"

  az_tags = {
    Environment   = "Development"
    CostCenter    = "Department"
    ResourceOwner = "Example Owner"
    Project       = "Project Name"
    Role          = "Resource Group"
  }
}

执行terraform init时触发错误：

Initializing modules...
Downloading git::https://dev.azure.com/loredan6/Terraform%20Code/_git/ResourceGroup for az-resource-group...
╷
│ Error: Failed to download module
│ 
│ Could not download module "az-resource-group" (main.tf:20) source code from
│ "git::https://dev.azure.com/loredan6/Terraform%20Code/_git/ResourceGroup":
│ error downloading
│ 'https://dev.azure.com/loredan6/Terraform%20Code/_git/ResourceGroup':
│ /usr/bin/git exited with 128: Cloning into
│ '.terraform/modules/az-resource-group'...
│ fatal: could not read Username for 'https://dev.azure.com': terminal
│ prompts disabled

需要解决这个认证问题，同时实现通过标签引用模块版本的需求。

解决方案 #

1. 解决Git克隆认证问题 #

错误核心是Terraform执行git clone时无权限访问Azure DevOps私有仓库，且终端无法弹出认证提示。针对不同环境有两种可靠方案：

• Azure DevOps流水线环境：用系统访问令牌
  在流水线的Terraform init步骤中，将内置的系统访问令牌$(System.AccessToken)注入Git认证信息，修改模块source的URL格式：

  source = "git::https://$(System.AccessToken)@dev.azure.com/loredan6/Terraform%20Code/_git/ResourceGroup?ref=v1.0.0"
  

  注意：需给Project B的构建服务账号配置Project A仓库的读取权限——在Project A仓库的「设置→权限」中，添加Project B的构建服务账号，赋予「读取」权限。

• 本地/非流水线环境：用个人访问令牌（PAT）
  生成一个拥有代码读取权限的PAT，替换到source URL中：

  source = "git::https://<你的PAT>@dev.azure.com/loredan6/Terraform%20Code/_git/ResourceGroup?ref=v1.0.0"
  

  注意：PAT不要硬编码到代码里，本地可通过环境变量注入，比如export TF_VAR_azdo_token=你的PAT，再在代码中引用变量。

2. 通过标签引用模块版本 #

在source URL末尾添加?ref=标签名即可指定模块版本，比如要引用v1.0.0标签的模块，就用上述示例中的格式。切换版本时只需修改ref的值。

3. 优化建议 #

• 避免硬编码凭证：流水线优先用$(System.AccessToken)，本地用环境变量传递凭证，代码中用变量引用：

  source = "git::https://${var.azdo_token}@dev.azure.com/loredan6/Terraform%20Code/_git/ResourceGroup?ref=${var.module_version}"
  

• 给模块仓库打语义化版本标签（如v1.0.0、v1.1.0），便于版本管理。

内容的提问来源于stack exchange，提问作者Călimanu Loredan