使用Git Credential Manager时脚本化存储凭证失败致克隆受阻

问题场景 #

我编写了一份开发工作站配置脚本，用于克隆开发人员工作所需的基础代码，但在通过脚本向Git Credential Manager配置凭证时出现错误。

脚本内容 #

# configure git credential manager
git credential-manager-core configure

# add service account credentials to the credential manager; this is where it throws the error
printf "host=private.bitbucket.instance.example.com\nprotocol=https\nusername=GitServiceAccount@example.com\npassword=ComplexPassword" | git credential-manager-core store

# clone out code
git clone https://private.bitbucket.instance.example.com/path/developercode.git

# remove service account credentials from the credential manager
printf "host=private.bitbucket.instance.example.com\nprotocol=https\nusername=GitServiceAccount@example.com" | git credential-manager-core erase

错误信息 #

fatal: Unable to persist credentials with the 'wincredman' credential store.
See https://aka.ms/gcm/credstores for more information.

相关文档说明：

GCM因Windows限制无法将凭证持久化到Windows Credential Manager

解决方案 #

1. 使用临时内存凭证存储 #

适合一次性脚本操作，将凭证临时存在内存中，无需持久化到系统凭证管理器，操作完成后自动清理。

修改后的脚本：

# 临时设置内存型凭证存储，规避持久化限制
git config --global credential.helper memory

# 写入临时凭证
printf "host=private.bitbucket.instance.example.com\nprotocol=https\nusername=GitServiceAccount@example.com\npassword=ComplexPassword" | git credential-manager-core store

# 执行代码克隆
git clone https://private.bitbucket.instance.example.com/path/developercode.git

# 清理内存中的凭证并重置默认凭证助手
git credential-manager-core erase << EOF
host=private.bitbucket.instance.example.com
protocol=https
username=GitServiceAccount@example.com
EOF
git config --global --unset credential.helper

2. 直接在克隆URL中嵌入凭证（注意安全风险） #

如果脚本运行环境是受控且安全的，可以直接将用户名和密码嵌入克隆URL，跳过凭证管理器的存储步骤。注意：此方式会在命令历史中留下凭证，仅适合一次性操作的场景。

修改后的脚本：

# 使用包含凭证的URL直接克隆
git clone https://GitServiceAccount@example.com:ComplexPassword@private.bitbucket.instance.example.com/path/developercode.git

# 克隆完成后立即移除远程URL中的凭证，避免后续操作泄露
git remote set-url origin https://private.bitbucket.instance.example.com/path/developercode.git

3. 切换到GCM的"generic"凭证存储 #

将GCM的存储方式切换为generic，绕过Windows Credential Manager的限制，凭证会存储在本地加密文件中（需确保文件权限设置合理，避免未授权访问）。

修改后的脚本：

# 配置GCM使用generic存储
git config --global credential.helper manager-core
git config --global credential.managerCore.store generic

# 存储凭证
printf "host=private.bitbucket.instance.example.com\nprotocol=https\nusername=GitServiceAccount@example.com\npassword=ComplexPassword" | git credential-manager-core store

# 克隆代码
git clone https://private.bitbucket.instance.example.com/path/developercode.git

# 清理凭证
printf "host=private.bitbucket.instance.example.com\nprotocol=https\nusername=GitServiceAccount@example.com" | git credential-manager-core erase

# 可选：操作完成后恢复默认存储设置
git config --global --unset credential.managerCore.store

内容的提问来源于stack exchange，提问作者Matt Riley