Так решаются 98% проблем с исходниками Go:

#!/bin/sh

set -eux

: "${KUMA_GIT_REPO:=https://github.com/kumahq/kuma.git}"
: "${KUMA_GIT_REV:=1.0.7}"

tmpdir=$(mktemp -d -t "kuma-git-${KUMA_GIT_REV}-XXXXXX")
trap 'rm -rf "$tmpdir"' EXIT

git clone --depth 1 --branch "${KUMA_GIT_REV}"  "${KUMA_GIT_REPO}" "$tmpdir/kuma-${KUMA_GIT_REV}"

tar -cvJf "kuma_${KUMA_GIT_REV}.orig.tar.xz" -C "$tmpdir" \
  --exclude '.*' \
  "kuma-${KUMA_GIT_REV}"

cd "$tmpdir/kuma-${KUMA_GIT_REV}"
go mod vendor -v
cd -

tar -cvJf "kuma_${KUMA_GIT_REV}.orig-vendor.tar.xz" -C "$tmpdir/kuma-${KUMA_GIT_REV}" \
  --exclude '.*' \
  --strip-components=1 \
  "vendor"

Почему не 100%? Потомучто там ещё JS & Yarn и нагенеренные файлы Go.