如何解决CodeBuild CDK流水线无法访问GitHub私有仓库的问题？

这个错误的核心是CDK构建环境缺少访问GitHub私有仓库的有效认证凭证。当Go模块尝试通过SSH协议拉取私有仓库代码时，构建容器内未配置对应的SSH密钥，或密钥未被GitHub认可，导致认证失败，无法读取远程仓库内容。

方案1：使用GitHub Personal Access Token（PAT）（推荐） #

这是CI/CD环境中最便捷的认证方式：

1. 生成GitHub PAT：登录GitHub账号，进入「Settings → Developer settings → Personal access tokens」，创建新token并勾选repo权限（确保能访问目标私有仓库）。
2. 安全存储PAT：将PAT存入AWS Secrets Manager或Parameter Store（避免明文暴露）。
3. 在构建流程中配置Git凭证：
   在执行go mod download或cdk synth前，添加以下命令，让Go模块通过HTTPS协议+PAT认证拉取私有仓库：

   git config --global url."https://${GITHUB_PAT}@github.com/".insteadOf "git@github.com:"
   

   其中${GITHUB_PAT}是从Secrets Manager/Parameter Store读取到的环境变量。

方案2：配置SSH密钥认证 #

如果必须使用SSH协议：

1. 生成SSH密钥对：在本地执行ssh-keygen -t rsa -b 4096生成密钥对，将公钥添加到GitHub账号的「Settings → SSH and GPG keys」中。
2. 注入私钥到构建环境：将私钥存入AWS Secrets Manager，在构建时读取并配置：

   mkdir -p ~/.ssh
   echo "${SSH_PRIVATE_KEY}" > ~/.ssh/id_rsa
   chmod 600 ~/.ssh/id_rsa
   # 预添加GitHub到known_hosts，避免首次连接的确认提示
   ssh-keyscan github.com >> ~/.ssh/known_hosts
   

   确保构建环境的用户（如codebuild用户）拥有该密钥文件的读取权限。

方案3：使用内部Go模块代理（若有） #

如果公司内部部署了Go模块代理，且代理能访问私有GitHub仓库，可在构建时设置环境变量：

export GOPROXY=https://your-internal-proxy.com,direct

确保代理已配置好私有仓库的访问权限，能正确转发请求并完成认证。

• 遵循最小权限原则：PAT只授予必要的repo权限，SSH密钥仅用于目标私有仓库的只读访问。
• 若使用AWS CodeBuild，需确保构建项目的IAM角色拥有读取Secrets Manager/Parameter Store的权限。

内容的提问来源于stack exchange，提问作者RL89