如何在AWS CodeBuild中配置Renovate使用AWS CodeArtifact作为npm源？

1. 清理renovate.json的硬编码配置 #

先删掉renovate.json里的"npmrc": "registry=..."项——这个配置不仅没带有效认证，还会覆盖CodeBuild动态生成的.npmrc，导致Renovate无法正确识别CodeArtifact的认证信息：

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json"
}

2. 更新BuildSpec.yml，传递CodeArtifact配置给Renovate #

修改build阶段的命令，添加获取CodeArtifact registry地址并设置Renovate环境变量的步骤，确保Renovate用动态生成的认证信息访问私有源：

version: 0.2
env:
  shell: bash
  git-credential-helper: yes
  variables:
    RENOVATE_PLATFORM: 'codecommit'
    RENOVATE_REPOSITORIES: '["repoName1", "repoName2"]'
    RENOVATE_CONFIG: '{"extends":["config:recommended"]}'
    LOG_LEVEL: 'debug'
    AWS_REGION: 'us-east-1'
phases:
  build:
    on-failure: CONTINUE
    commands:
      # 登录CodeArtifact，自动生成带认证的.npmrc
      - aws codeartifact login --tool npm --domain my_domain --domain-owner 111122223333 --repository my_repo
      # 获取CodeArtifact的npm registry地址
      - CODEARTIFACT_REGISTRY=$(aws codeartifact get-repository-endpoint --domain my_domain --domain-owner 111122223333 --repository my_repo --format npm --query repositoryEndpoint --output text)
      # 强制Renovate使用这个私有registry
      - export RENOVATE_NPM_REGISTRY=$CODEARTIFACT_REGISTRY
      # 告诉Renovate读取系统生成的.npmrc（默认可能不读，加上更稳妥）
      - export RENOVATE_NPMRC_PATH=~/.npmrc
      # 安装并启动Renovate
      - npm install -g renovate
      - renovate

3. 给CodeBuild角色加必要权限 #

确保CodeBuild的执行角色有以下IAM权限：

• codeartifact:GetRepositoryEndpoint
• codeartifact:ReadFromRepository
• codeartifact:Login
• CodeCommit相关权限（codecommit:GitPull、codecommit:CreateBranch、codecommit:CreatePullRequest等，用于Renovate创建更新PR）

原配置失效的原因 #

• aws codeartifact login会在当前用户目录生成带临时令牌的.npmrc，但Renovate默认优先用公共源或项目内配置，除非明确指定使用系统的.npmrc或通过环境变量传递registry。
• 你之前在renovate.json里写的npmrc项没有包含认证令牌，而且硬编码的registry会覆盖动态生成的配置，导致Renovate无法通过CodeArtifact的认证，只能 fallback到公共npm源。

内容的提问来源于stack exchange，提问作者user22409631