SBOM

**Software Bill of Materials（SBOM）**とは、ソフトウェアに含まれるすべてのオープンソースコンポーネントを構造化して一覧にしたものです。何のコンポーネントか、使用しているバージョン、作者、ライセンスといった情報が含まれます。顧客、監査人、規制当局からの要求が増えており、サプライチェーン全体の脆弱性やライセンス義務を追跡する基盤となります。

SBOM のダウンロード

ページヘッダーの Download SBOM をクリックすると、エクスポートダイアログが開きます。エクスポートには常に現在のフィルターが反映されるため、特定のリポジトリやコンテナイメージのみの SBOM が欲しい場合は、先にそれでフィルタリングしてください。

フォーマットを選択する

以下の2つのフォーマットでエクスポートできます。

CSV: すべてのパッケージ、そのバージョン、ライセンス、所在地をフラットなカンマ区切りリストにしたものです。Excel に取り込んで随時分析するのに便利です。
SPDX: Software Package Data Exchange（SPDX）は、主にオープンソースのライセンスコンプライアンスと著作権に関連付けられているオープンな SBOM 標準です。
CycloneDX: SBOM の業界標準フォーマットで、ほぼすべての SBOM 利用者、スキャナー、コンプライアンスプラットフォームに認識されています。

CycloneDX のオプション

CycloneDX を選択すると、追加で3つのトグルが表示されます。

Include VEX Analysis: VEX は Vulnerability Exploitability eXchange の略です。SBOM だけでは使用しているパッケージが何かしか分かりませんが、VEX はどのパッケージに既知の脆弱性があるか、そして影響を受けているかどうかを、その理由とともに教えてくれます。
Include Package Hashes: 各パッケージのハッシュを追加します。このハッシュにより、そのパッケージバージョンの正確な内容が一意に識別されます。ハッシュがあれば、手元のパッケージが記載されたものとバイト単位で同一であり、改ざんされていないことを誰でも検証できます。
Include Dependencies: パッケージ間の関係性を追加するオプションです。どのパッケージがプロジェクトの直接的な依存関係で、どれが他のパッケージを介して間接的に取り込まれているかが分かります。

SBOM がライセンス管理のみを目的としている場合は、これらのオプションは無視して問題ありません。

自己生成した SBOM のモニタリング

自己生成した SBOM のアップロードについては、SBOM のアップロードを参照してください。