Azure DevOps中Terraform Init拉取模块失败问题求助

针对你遇到的Terraform在Pipeline中拉取Azure DevOps Git模块时的认证失败问题，提供以下几种可行方案：

方案1：全局配置Git HTTP认证头（绕过20个资源限制） #

之前添加Pipeline资源的方式受限于20个仓库上限，可直接给整个Azure DevOps域名配置全局Git HTTP头，让同组织下所有仓库自动使用Pipeline系统AccessToken认证：

1. 在terraform init步骤前，添加脚本任务（Bash/PowerShell）执行命令：

git config --global http.https://dev.azure.com.extraheader "AUTHORIZATION: bearer $(System.AccessToken)"

该配置对所有dev.azure.com域名下的Git仓库生效，无需逐个添加Pipeline资源。

2. 确保Pipeline服务账号拥有模块仓库读取权限：
   • 进入目标仓库的设置 > 权限页面
   • 添加Project Collection Build Service (<你的组织名>)用户，赋予读者权限

方案2：使用Azure DevOps Artifacts Terraform私有仓库 #

将自研模块发布到Azure DevOps Artifacts的Terraform私有仓库，通过标准Registry方式拉取模块，规避Git认证问题：

1. 在Azure DevOps项目中创建Terraform私有仓库（路径：Artifacts > 新建 feed，类型选Terraform）
2. 将自研模块发布到该feed
3. 在Terraform配置中使用Registry格式的模块源：

module "xyz" {
  source  = "<你的组织名>/<你的项目名>/<模块名>/azure"
  version = "1.0.0"
  # 其他模块参数
}

4. 在Pipeline中添加环境变量TF_TOKEN_dev.azure.com，值设为$(System.AccessToken)，Terraform会自动用该token完成Registry认证。

方案3：预克隆模块仓库到本地工作区 #

若模块仓库数量多但有规律，可在Pipeline初始化阶段批量克隆模块到本地目录，再用本地路径作为模块源：

1. 添加脚本任务批量克隆模块仓库（示例Bash脚本）：

# 创建本地模块目录
mkdir -p ./terraform-modules

# 替换为你的模块仓库列表
MODULE_REPOS=(
  "module-repo-1"
  "module-repo-2"
  "module-repo-3"
)

for REPO in "${MODULE_REPOS[@]}"; do
  git clone https://$(System.AccessToken)@dev.azure.com/<<ADO_ORG>>/<<ADO_PROJECT>>/_git/$REPO ./terraform-modules/$REPO
done

2. 修改Terraform配置中的模块源为本地路径：

module "xyz" {
  source = "./terraform-modules/module-repo-1"
  # 其他模块参数
}

关键注意事项 #

• 禁止将PAT硬编码或提交到Git仓库，始终使用Pipeline系统变量$(System.AccessToken)
• 确保Pipeline服务账号对所有涉及的模块仓库拥有读取权限，否则认证会失败

内容的提问来源于stack exchange，提问作者Jörg Lang