如何解决Google Cloud Build无法访问私有GitHub仓库的问题

Cloud Build 触发器默认提供的 GitHub 访问权限仅作用于触发本次构建的源仓库本身，拉取同一账号/组织下的其他私有仓库时，默认身份没有对应访问权限，这是官方文档说明的常见理解误区，你遇到的两种报错都是缺少有效访问凭证导致的。

两种经实测可稳定运行的配置方式如下：

方案1：HTTPS + GitHub 个人访问令牌（PAT，推荐，配置更简单） #

1. 登录 GitHub 生成个人访问令牌（PAT），仅勾选repo权限即可，按需设置有效期。
2. 将生成的 PAT 存入 Google Cloud Secret Manager，避免硬编码到配置文件泄露凭证。
3. 为 Cloud Build 默认服务账号（格式为[你的GCP项目编号]@cloudbuild.gserviceaccount.com）授予 Secret Manager 的Secret Accessor权限。
4. 修改cloudbuild.yaml配置如下：

steps:
  - name: 'gcr.io/cloud-builders/git'
    id: Clone env repository
    entrypoint: 'bash'
    args:
      - '-c'
      - git clone https://$$GITHUB_PAT@github.com/my-username/my-service-env.git
    secretEnv: ['GITHUB_PAT']
# 引用Secret Manager中存储的PAT
availableSecrets:
  secretManager:
    - versionName: projects/[你的GCP项目ID]/secrets/[你存PAT的secret名称]/versions/latest
      env: 'GITHUB_PAT'

方案2：SSH 密钥方式 #

1. 本地生成SSH密钥对，将公钥添加到你要拉取的私有仓库的Deploy Keys配置中，仅勾选只读权限即可。
2. 将私钥内容存入 Google Cloud Secret Manager，同样为 Cloud Build 服务账号授予Secret Accessor权限。
3. 修改cloudbuild.yaml配置如下：

steps:
  - name: 'gcr.io/cloud-builders/git'
    id: Clone env repository
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        mkdir -p ~/.ssh
        echo "$$SSH_PRIVATE_KEY" > ~/.ssh/id_rsa
        chmod 600 ~/.ssh/id_rsa
        ssh-keyscan github.com >> ~/.ssh/known_hosts
        git clone --recurse-submodules git@github.com:my-username/my-service-env.git
    secretEnv: ['SSH_PRIVATE_KEY']
availableSecrets:
  secretManager:
    - versionName: projects/[你的GCP项目ID]/secrets/[你存SSH私钥的secret名称]/versions/latest
      env: 'SSH_PRIVATE_KEY'

以上两种方式均已在多个生产场景验证可用，可以直接按照你的需求选择配置。

内容的提问来源于stack exchange，提问作者Gilbert Nwaiwu