CloudFormation部署EC2时Git Clone密码读取失败问题求助

我之前碰到过一模一样的问题！这个错误 fatal: could not read Password for 'https://username@gitlab.com': No such device or address 的根源是：cfn-init运行bash脚本时处于非交互式环境——没有TTY终端，git无法弹出密码输入提示，直接抛出错误。

下面给你几个适配CloudFormation参数（GitLabUsn和GitLabPwd）的解决方案，按安全性从高到低排序：

1. 优先使用GitLab个人访问令牌（PAT）+ 环境变量 #

这是最安全的方案，因为PAT可以限制权限范围、设置过期时间，泄露后可快速吊销。

步骤： #

1. 在GitLab账号中创建一个个人访问令牌，勾选read_repository权限（足够克隆仓库）
2. 将这个PAT作为GitLabPwd参数传入CloudFormation
3. 在bash脚本中通过GIT_PASSWORD环境变量传递凭证，git会自动读取这个变量，无需交互式输入：

# 安装git（如果实例没预装的话）
yum install -y git

# 用CloudFormation参数设置环境变量
export GIT_PASSWORD="${GitLabPwd}"
git clone https://${GitLabUsn}@gitlab.com/your-namespace/your-repo.git /path/to/target/dir

# 克隆完成后清理环境变量，避免泄露
unset GIT_PASSWORD

如果是在CloudFormation的AWS::CloudFormation::Init元数据中配置：

Metadata:
  AWS::CloudFormation::Init:
    configSets:
      default: [installGit, cloneRepo]
    installGit:
      commands:
        01_install:
          command: yum install -y git
    cloneRepo:
      commands:
        01_clone_repo:
          command: |
            export GIT_PASSWORD=${GitLabPwd}
            git clone https://${GitLabUsn}@gitlab.com/your-namespace/your-repo.git /target/dir
            unset GIT_PASSWORD
          env:
            GitLabUsn: !Ref GitLabUsn
            GitLabPwd: !Ref GitLabPwd

2. 在git clone URL中直接嵌入凭证（不推荐，仅临时测试用） #

这种方式最简单，但安全性差——凭证会被保存在本地.git/config文件的remote URL中，有泄露风险。

脚本写法：

git clone https://${GitLabUsn}:${GitLabPwd}@gitlab.com/your-namespace/your-repo.git /path/to/target/dir

# 克隆完成后建议修改remote URL，移除凭证
git -C /path/to/target/dir remote set-url origin https://${GitLabUsn}@gitlab.com/your-namespace/your-repo.git

3. 使用git凭证助手临时存储凭证 #

可以把凭证写入git的凭证存储，后续操作无需重复输入，但同样要注意文件权限：

# 安装git
yum install -y git

# 配置git使用store类型的凭证助手
git config --global credential.helper store

# 写入凭证到git凭证文件，设置权限避免其他用户读取
echo "https://${GitLabUsn}:${GitLabPwd}@gitlab.com" > ~/.git-credentials
chmod 600 ~/.git-credentials

# 克隆仓库
git clone https://gitlab.com/your-namespace/your-repo.git /path/to/target/dir

关键注意事项： #

• 永远不要把明文凭证硬编码在CloudFormation模板中，一定要用**参数（Parameters）**传递
• 避免在日志中泄露凭证：使用环境变量的方式，git不会把GIT_PASSWORD的值输出到cloud-init-output.log中
• 生产环境优先选择PAT方案，最小化权限范围

内容的提问来源于stack exchange，提问作者Miika