リポジトリのソフトウェア部品表のエクスポート

リポジトリのソフトウェア部品表、つまり、SBOM を依存関係グラフからエクスポートすることができます。 SBOM を使用すると、オープンソースの使用状況に対する透明性が得られ、サプライチェーンの脆弱性を見つけるのに役立ち、サプライチェーンのリスクが軽減されます。

この機能を使用できるユーザーについて

Anyone can export the dependency graph of a repository as a software bill of materials. The SBOM export will contain a list of the dependencies that are used in the repository.

この記事の内容

依存関係グラフと SBOM のエクスポートについて

依存関係グラフは、リポジトリに格納されているマニフェストおよびロックファイル、および依存関係送信 API (ベータ) を使用してリポジトリに送信された依存関係の概要です。それぞれのリポジトリについて、以下が表示されます:の依存関係、すなわちリポジトリが依存するエコシステムとパッケージ。

GitHub Enterprise Server を使っても、依存関係のライセンス情報は取得されず、依存関係に関する情報、リポジトリに依存するリポジトリとパッケージは計算されません。

業界標準の SPDX 形式を使用して、リポジトリの依存関係グラフの現在の状態をソフトウェア部品表 (SBOM) としてエクスポートできます。

GitHub UI を使用して
REST API を使用して

SBOM は、プロジェクトの依存関係と関連情報 (バージョンとパッケージ識別子など) の、機械で読み取り可能な正式なインベントリです。 SBOM は、次の方法でサプライチェーンのリスクを軽減するのに役立ちます。

リポジトリで使用される依存関係に関する透明性を提供する
プロセスの早い段階で脆弱性を特定できるようにする
コードベースに存在する可能性があるライセンスコンプライアンス、セキュリティ、または品質の issue に関する分析情報を提供する
さまざまなデータ保護基準をより適切に遵守できるようにする

会社が大統領令 14028 に従って米国連邦政府にソフトウェアを提供する場合は、製品の SBOM を提供する必要があります。また、監査プロセスの一環として SBOM を使用し、それらを使って規制および法的要件に準拠することもできます。

UI からのリポジトリのソフトウェア部品表のエクスポート

お使いの GitHub Enterprise Server インスタンスで、リポジトリのメインページへ移動します。
リポジトリ名の下にある [分析情報] をクリックします。
左側のサイドバーで、 [Dependency graph] (依存関係グラフ) をクリックします。
[依存関係] タブの右上にある [SBOM のエクスポート] をクリックして、ブラウザーからダウンロードするための SBOM ファイルを生成します。

REST API を使ったリポジトリのソフトウェア部品表のエクスポート

REST API を使ってリポジトリの SBOM をエクスポートする場合については、「ソフトウェア部品表 (SBOM) 用の REST API エンドポイント」を参照してください。