如何在AWS CodeBuild中通过codebuild.yml认证GitHub并下载私有仓库？

算力阿峰

2026-8-15

AWS CodeBuild 访问GitHub私有仓库的认证方案

可以实现通过CodeBuild访问GitHub私有仓库，但禁止直接在codebuild.yml中硬编码GitHub凭证（如令牌、密码），这会导致敏感信息泄露。正确的做法是借助AWS安全服务存储凭证，再在构建流程中安全调用，具体步骤如下：

1. 生成GitHub个人访问令牌（PAT）

在GitHub账户的「Settings > Developer settings > Personal access tokens」页面生成令牌
勾选repo权限（针对私有仓库访问，仅勾选必要权限，遵循最小权限原则）

2. 存储凭证到AWS Secrets Manager

在AWS控制台创建新密钥，将生成的GitHub PAT存入，密钥名称可设为github/private-repo-token

3. 配置CodeBuild服务角色权限

给CodeBuild的服务角色添加读取该Secrets Manager密钥的权限，示例IAM策略片段：

{
    "Effect": "Allow",
    "Action": ["secretsmanager:GetSecretValue"],
    "Resource": "arn:aws:secretsmanager:你的AWS区域:你的AWS账户ID:secret:github/private-repo-token-*"
}

4. 在codebuild.yml中配置认证与克隆

在构建的pre_build或install阶段，读取Secrets Manager中的令牌，配置Git使用该令牌自动认证：

version: 0.2
phases:
  pre_build:
    commands:
      - |
        # 从Secrets Manager获取GitHub令牌
        GITHUB_TOKEN=$(aws secretsmanager get-secret-value --secret-id github/private-repo-token --query SecretString --output text)
        # 配置Git用令牌替换HTTPS地址的认证部分
        git config --global url."https://${GITHUB_TOKEN}@github.com/".insteadOf "https://github.com/"
      # 克隆私有仓库
      - git clone https://github.com/你的组织/私有仓库.git