能否提取AWS CodeStar Connections的访问令牌供CodeBuild使用

核心结论 #

不能直接提取CodeStar connection里存储的访问令牌，这类凭证是AWS内部托管的，没有开放对外获取的接口。

替代实现方案 #

你完全不需要手动提取令牌，现有配置就能满足自动打标签、发布的需求：

• 只要你的CodeBuild是CodePipeline流程里的一个阶段，且源阶段是通过已配置的CodeStar connection拉取对应GitHub私有仓库的代码，CodeBuild运行时会自动注入临时的GITHUB_TOKEN环境变量，这个令牌的权限和你配置CodeStar connection时给GitHub应用授权的权限完全一致。
• 这个令牌是临时的，和当前构建任务的生命周期绑定，构建结束后自动失效，比长期固定的个人访问令牌安全性更高。

注意事项 #

• 配置CodeStar connection关联的GitHub应用时，记得给目标仓库开足够的权限，包括打标签、发布版本对应的读写权限，否则自动注入的令牌没有权限执行对应的操作。
• 构建过程中执行打标签、发布操作时不需要额外处理鉴权，绝大多数Git工具、GitHub官方CLI都会自动读取GITHUB_TOKEN环境变量完成鉴权。

如果你的CodeBuild没有集成到CodePipeline里是独立运行的，就没法用这个能力，这种情况你可以把个人访问令牌存到AWS Secrets Manager里，构建的时候动态拉取使用即可。

内容的提问来源于stack exchange，提问作者Fares