如何以编程方式将GitHub仓库连接到GCP项目，无需手动操作控制台

方案1：使用Terraform Google Provider原生资源配置 #

目前Google官方Provider已经提供了Cloud Build连接管理的原生资源，无需手动操作控制台即可完成全流程配置，操作步骤如下：

• 先启用GCP项目的依赖API：cloudbuild.googleapis.com、secretmanager.googleapis.com
• 提前生成GitHub个人访问令牌（PAT），勾选repo、admin:repo_hook、read:user三类权限，将令牌存入GCP Secret Manager，禁止硬编码到配置文件
• 给Cloud Build官方服务账号授予Secret Manager的密钥访问权限
• 直接使用google_cloud_build_connection和google_cloud_build_repository资源完成连接配置和仓库关联

参考配置示例：

# 启用Cloud Build服务
resource "google_project_service" "cloudbuild" {
  project             = var.gcp_project_id
  service             = "cloudbuild.googleapis.com"
  disable_on_destroy  = false
}

# 创建存储GitHub PAT的Secret
resource "google_secret_manager_secret" "github_pat" {
  secret_id = "github-pat-for-cloudbuild"
  replication {
    automatic = true
  }
  depends_on = [google_project_service.cloudbuild]
}

# 存入PAT内容
resource "google_secret_manager_secret_version" "github_pat" {
  secret      = google_secret_manager_secret.github_pat.id
  secret_data = var.github_pat
}

# 授予Cloud Build服务账号PAT读取权限
resource "google_secret_manager_secret_iam_member" "cloudbuild_pat_access" {
  secret_id = google_secret_manager_secret.github_pat.id
  role      = "roles/secretmanager.secretAccessor"
  member    = "serviceAccount:service-${var.gcp_project_number}@gcp-sa-cloudbuild.iam.gserviceaccount.com"
}

# 创建GitHub连接
resource "google_cloud_build_connection" "github_conn" {
  name     = "github-main-connection"
  location = var.gcp_region
  github_config {
    authorizer_credential {
      oauth_token_secret_version = google_secret_manager_secret_version.github_pat.id
    }
  }
  depends_on = [google_secret_manager_secret_iam_member.cloudbuild_pat_access]
}

# 关联指定GitHub仓库，多个仓库可以批量循环创建该资源
resource "google_cloud_build_repository" "biz_repo1" {
  name             = "biz-repo1"
  location         = var.gcp_region
  parent_connection = google_cloud_build_connection.github_conn.id
  remote_uri       = "https://github.com/你的组织名/biz-repo1.git"
}

配置完成后，后续的Cloud Build触发器可以直接关联上述仓库资源的ID，无需额外操作。

方案2：使用gcloud脚本批量实现（适合临时自动化场景） #

如果不需要把连接生命周期纳入Terraform管理，可以用gcloud命令行编写脚本批量处理：

• 先完成gcloud身份认证，切换到目标GCP项目：gcloud config set project 你的项目ID
• 创建GitHub连接：gcloud builds connections create github 连接名 --region=目标区域 --authorizer-token-secret-version=projects/项目号/secrets/密钥名/versions/latest
• 批量关联仓库：可以把所有需要关联的仓库地址存入列表，循环执行gcloud builds repositories create 仓库别名 --connection=连接名 --remote-uri=仓库HTTPS地址 --region=目标区域即可。

注意事项 #

• 执行所有操作的身份需要拥有Cloud Build Admin、Secret Manager Secret Accessor、Project IAM Admin三类权限
• GitHub PAT需要定期轮换，建议配置Secret Manager的自动轮换规则
• 如果使用GitHub Enterprise，只需将Terraform资源中github_config替换为github_enterprise_config字段，配置逻辑完全一致

内容的提问来源于stack exchange，提问作者iicaptain