AWS CodeBuild中克隆GitHub Enterprise私有仓库报403如何解决

核心诱因是CodeBuild运行环境默认配置了全局git凭证助手，会优先使用CodePipeline源仓库绑定的凭证发起请求，你直接写在clone URL里的自定义凭证会被覆盖，根本不会被携带到请求里，按以下步骤配置即可：

• 不要把GHE个人访问令牌（PAT）硬编码在buildspec.yml中，先将访问凭证（用户名+具备repo全权限的PAT）存储到AWS Secrets Manager/Systems Manager Parameter Store，给CodeBuild绑定的服务角色授予对应密钥的读取权限，避免明文泄露。
• 执行克隆命令前，先清空CodeBuild默认配置的全局凭证助手，防止它拦截替换你的请求凭证：

git config --global --unset credential.helper

• 如果你们的GHE实例使用自签名SSL证书，提前关闭git的SSL校验，避免证书校验失败被拦截：

git config --global http.sslVerify false

• 从密钥服务动态拉取凭证后再执行克隆，参考示例：

# 提前在CodeBuild环境变量中配置好存储GHE凭证的密钥ID
CRED_VALUE=$(aws secretsmanager get-secret-value --secret-id $GHE_SECRET_ID --query SecretString --output text)
GHE_USER=$(echo $CRED_VALUE | jq -r '.username')
GHE_TOKEN=$(echo $CRED_VALUE | jq -r '.token')
git clone https://${GHE_USER}:${GHE_TOKEN}@github.ent.companydomain.com/xxx/xxx.git

• 若以上配置完成仍返回403，逐一排查以下配置项：
  • 确认所用PAT未过期，且已勾选repo分组下的全部权限，不要仅分配单仓库的部分读权限
  • 确认GHE侧配置的IP白名单已放通CodeBuild的公网出口IP，出口IP可在CodeBuild控制台的网络配置中查询
  • 确认克隆URL路径完全匹配，不要遗漏仓库所属的组织/个人路径层级

最稳妥的零配置方案：直接在CodePipeline的源阶段添加需要访问的GHE仓库作为附加输入源，CodePipeline会自动完成所有仓库的拉取鉴权，所有源文件会在构建启动时自动挂载到CodeBuild的工作目录，无需在buildspec中手动编写克隆逻辑。

内容的提问来源于stack exchange，提问作者Amol Borkar