Azure DevOps 和代码依赖项跟踪集成

Question

尝试将依赖项跟踪与azure devops集成，目前我们正在使用bitbucket进行依赖项跟踪。

我已在我的项目中安装了 https://marketplace.visualstudio.com/items?itemName=GSoft.dependency-track-vsts 此扩展。

不确定在 azure devops 中哪里可以找到该扩展，也不知道如何使用此扩展并完成与 Azure Devops 的集成。

问候， 山

在azure devops项目中安装了扩展，并尝试查找BOM文件和YML文件来使用此扩展。

依赖跟踪 - https://docs.dependencytrack.org/usage/cicd/

Answer 1

不确定在哪里可以在 azure devops 中找到该扩展，也不确定 如何使用此扩展并完成与 Azure 的集成 德沃普。

它是一个管道任务扩展，它将“

Upload a BOM file to Dependency Track

”任务添加到DevOps中。您可以在创建管道时找到任务。

对于输入，您可以参考扩展概述页面或此 GitHub 页面中描述的参数。

具体用法，可以参考扩展概述页面中提到的管道示例或此 GitHub 页面。

基本用法示例：

trigger:
- master

pool:
  vmImage: 'ubuntu-latest'

steps:
- task: NodeTool@0
  inputs:
    versionSpec: '18.x'
  displayName: 'Install Node.js'

- script: |
    npm install
    npm install -g @cyclonedx/cyclonedx-npm
  displayName: 'npm install'

- script: |
    cyclonedx-npm --version
    cyclonedx-npm --output-file '$(Agent.TempDirectory)/bom.xml'
  displayName: 'Create BOM'

- task: upload-bom-dtrack-task@1
  displayName: 'Upload BOM to https://dtrack.example.com/'
  inputs:
    bomFilePath: '$(Agent.TempDirectory)/bom.xml'
    dtrackProjId: '00000000-0000-0000-0000-000000000000'
    dtrackAPIKey: '$(dtrackAPIKey)'
    dtrackURI: 'https://dtrack.example.com/'

在 Dependency-Track 下，您可以参考以下线程：

• 依赖-轨道介绍
• 依赖性追踪：分析您的 使用第三方组件导致的漏洞