Mit dem Branchenstandard SPDX Format können Sie den aktuellen Status des Abhängigkeitsdiagramms für Ihr Repository als Softwareabrechnung (SBOM) exportieren.
SBOMs enthalten ein Inventar der Abhängigkeiten eines Projekts und zugehörige Informationen wie Versionen und Paketkennungen. SBOMs enthalten keine Nachfolger (andere Projekte, die auf Ihrem project basieren).
Exportieren einer Software-Stückliste für Ihr Repository über die Benutzeroberfläche
-
Navigieren Sie auf GitHub zur Hauptseite des Repositorys.
-
Klicke unter dem Repositorynamen auf Insights.
-
Klicke auf der linken Randleiste auf Abhängigkeitsdiagramm.
-
Klicke oben rechts auf der Registerkarte Abhängigkeiten auf SBOM exportieren, um eine SBOM-Datei zum Herunterladen aus deinem Browser zu generieren.
Exportieren einer Softwarestückliste für Ihr Repository über die REST-API
Wenn Sie mithilfe der REST-API eine SBOM für Ihr Repository exportieren möchten, finden Sie weitere Informationen unter REST-API-Endpunkte für Software-Stückliste (SBOM).
Generieren einer Softwareabrechnung von Materialien aus GitHub Actions
Die folgenden Aktionen generieren eine SBOM für dein Repository und fügen es als Workflowartefakt an, das du herunterladen und in anderen Anwendungen verwenden kannst. Weitere Informationen zum Herunterladen von Workflow-artifacts finden Sie unter Herunterladen von Workflowartefakten.
| Maßnahme | Einzelheiten |
|---|
[SPDX-Abhängigkeitsübermittlungsaktion](https://github.com/marketplace/actions/spdx-dependency-submission-action) | Verwendet [Microsofts SBOM-Tool](https://github.com/microsoft/sbom-tool) zum Erstellen von SPDX 2.2-kompatiblen SBOMs mit den [ unterstützten Ökosystemen](https://github.com/microsoft/component-detection/blob/main/docs/feature-overview.md) |
[Anchore SBOM Action](https://github.com/marketplace/actions/anchore-sbom-action) | Verwendet [Syft](https://github.com/anchore/syft) zum Erstellen von SPDX 2.2-kompatiblen SBOMs mit den [supportierten Ökosystemen](https://github.com/anchore/syft#supported-ecosystems) |
[SBOM-Abhängigkeitsübermittlungsaktion](https://github.com/marketplace/actions/sbom-submission-action)| Lädt eine CycloneDX SBOM in die Abhängigkeitsübermittlungs-API hoch |