如何解决Dependabot对接AWS CodeArtifact的认证失败问题

你遇到的私有源认证失败问题由三类配置错误+CodeArtifact token机制问题共同导致，按以下步骤修正即可正常使用：

核心问题点 #

• 配置文件YAML结构缺失：当前配置漏写了updates顶层字段，包生态配置直接放在根级，Dependabot完全没有读取到配置的认证信息
• 私有源URL配置错误：配置的registry地址是CodeArtifact根域名，没有携带/npm/private的实际仓库路径，和拉包请求的目标地址不匹配
• CodeArtifact token时效问题：手动生成的CodeArtifact授权token默认有效期仅12小时，静态存在secrets里过期后会直接返回401，没有自动刷新机制会持续报错

正确配置流程 #

1. 修正dependabot.yml配置 #

补全缺失的YAML结构，registry地址填写完整的私有仓库路径，参考如下正确配置：

version: 2
registries:
  npm-codeartifact:
    type: npm-registry
    # 必须填写完整的私有npm仓库路径，不要只写CodeArtifact根域名
    url: https://<registry-name>-<aws-account-id>.d.codeartifact.<region>.amazonaws.com/npm/private
    username: aws
    password: ${{secrets.CODEARTIFACT_TOKEN}}
# 注意必须有updates顶层字段，否则配置不生效
updates:
  - package-ecosystem: "npm"
    directory: "/" # 替换为项目中package.json所在的目录路径
    schedule:
      interval: "daily"
    registries:
      - npm-codeartifact

配置说明：Dependabot默认会自动识别公网npm包走官方源，仅匹配配置的私有源地址的包会携带认证信息请求CodeArtifact，不需要额外配置公网源。

2. 配置token自动刷新 #

因为静态token有效期太短无法长期使用，需要通过GitHub Action定时刷新token：

• 新建IAM用户，授予codeartifact:GetAuthorizationToken、codeartifact:ReadFromRepository权限，将该用户的AK/SK存为GitHub仓库secrets，命名为AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY
• 新建定时运行的Workflow，每10小时执行一次，调用AWS CLI生成新的CodeArtifact token，自动更新CODEARTIFACT_TOKEN secret的值，核心执行命令如下：

aws codeartifact get-authorization-token \
  --domain <your-codeartifact-domain> \
  --domain-owner <aws-account-id> \
  --region <region> \
  --query authorizationToken \
  --output text

Workflow配置用官方AWS认证action即可，定时触发用cron表达式设置为0 */10 * * *，保证token始终在有效期内。

3. 结果校验 #

配置完成后手动触发一次Dependabot依赖检查，若仍返回401，逐项排查以下内容：

• IAM用户权限是否正确，是否配置了对应CodeArtifact仓库的拉取权限
• 所有secrets名称拼写是否正确，Dependabot是否有secrets的读取权限
• 私有源URL中的区域、账号ID、仓库名是否拼写正确，不要出现多字符、漏字符的问题（比如之前日志里的地址出现连续两个点的拼写错误，需要修正）

内容的提问来源于stack exchange，提问作者Cae Vecchi