Azure DevOps与Dependency Track集成求助：已装插件却不知使用方法

一、插件找不到的排查步骤 #

• 确认安装范围：检查插件是安装在组织级别还是单个项目。组织级安装需确保当前项目有权限使用；项目级安装直接进入项目的「项目设置」→「扩展」→「已安装」列表查看。
• 清理界面缓存：强制刷新浏览器（Ctrl+F5）或切换隐私窗口，Azure DevOps界面缓存可能导致插件不显示。
• 验证兼容性：确认插件版本与当前Azure DevOps（云/服务器版）匹配，过时版本可能被隐藏或无法加载。

二、基于BOM文件与YML的集成流程 #

1. 生成标准SBOM文件 #

Dependency Track仅接受CycloneDX格式的BOM文件，根据项目类型选择对应工具生成：

• Node.js项目：

  npm install -g @cyclonedx/cyclonedx-npm
  cyclonedx-npm --output-format json --output-file bom.json
  

• Java项目（Maven）：
  在pom.xml中配置cyclonedx-maven-plugin后执行：

  mvn cyclonedx:makeBom
  

2. Azure DevOps YML流水线配置 #

在流水线YML中添加「生成BOM」和「上传至Dependency Track」两个核心步骤：

steps:
  # 步骤1：生成SBOM（根据项目类型替换脚本）
  - script: |
      npm install -g @cyclonedx/cyclonedx-npm
      cyclonedx-npm --output-format json --output-file $(Build.ArtifactStagingDirectory)/bom.json
    displayName: 'Generate CycloneDX SBOM'

  # 步骤2：使用插件上传BOM
  - task: DependencyTrack@1
    displayName: 'Upload BOM to Dependency Track'
    inputs:
      serverUrl: 'https://你的Dependency Track实例地址'
      apiKey: '$(DependencyTrackApiKey)' # 在Azure DevOps变量组中配置保密变量
      projectId: '你的Dependency Track项目UUID'
      bomPath: '$(Build.ArtifactStagingDirectory)/bom.json'
      autoCreateProject: false # 按需设置是否自动创建项目

3. 关键配置说明 #

• API密钥：在Dependency Track的「用户设置」→「API密钥」生成，添加到Azure DevOps项目的「库」→「变量组」中作为保密变量，禁止明文写入YML。
• Project ID：在Dependency Track对应项目的详情页获取UUID，确保BOM上传到目标项目。
• 网络连通性：确保Azure DevOps代理服务器能访问你的Dependency Track实例，否则会出现上传超时或失败。

三、常见问题排查 #

• 上传失败：检查API密钥是否拥有「BOM上传」权限，Dependency Track服务器地址是否可访问。
• 插件仍不显示：卸载后重新安装插件，查看Azure DevOps「组织设置」→「扩展」→「日志」排查安装报错。

内容的提问来源于stack exchange，提问作者Shanmugam Natarajan