如何读取与Azure DevOps模板同仓库的配置文件？

问题根源 #

当从外部仓库引用Azure DevOps模板时，系统默认只会拉取当前流水线所属仓库的代码到Agent的$(Build.SourcesDirectory)目录，模板仓库的文件（包括你的configs目录）不会自动同步到工作目录，因此扫描任务找不到相对路径的配置文件。

解决方案：显式拉取模板仓库代码 #

修改模板文件，在扫描任务前添加checkout步骤，主动拉取模板仓库的代码到指定目录，再调整配置文件的路径：

stages:
- stage: Defender
  displayName: Defender
  pool:
    vmImage: windows-latest
  jobs:
  - job: Scan
    displayName: Scan
    steps:
    # 拉取模板仓库代码到指定目录，避免与主仓库文件冲突
    - checkout: templates
      path: 'ado-templates'
    # 调整配置文件路径为模板仓库拉取后的路径
    - task: MicrosoftSecurityDevOps@1
      displayName: Microsoft Security DevOps
      inputs:
        config: 'ado-templates/configs/config.gdnconfig'

关键说明 #

• checkout: templates：对应你在流水线resources.repositories中定义的仓库别名，会拉取该仓库的所有代码。
• path: 'ado-templates'：指定模板仓库代码拉取到Agent工作目录下的ado-templates子文件夹，避免和主仓库的文件结构冲突。
• 配置文件路径：修改为拉取后的目录路径，确保扫描任务能准确定位到config.gdnconfig。

验证方法 #

可以在模板中添加脚本步骤，确认模板仓库的文件是否成功拉取：

- script: ls -al $(Build.SourcesDirectory)/ado-templates
  displayName: 检查模板仓库文件结构

内容的提问来源于stack exchange，提问作者michasaucer