リポジトリのソフトウェア部品表のエクスポート

業界標準の SPDX 形式を使用して、リポジトリの依存関係グラフの現在の状態をソフトウェア部品表 (SBOM) としてエクスポートできます。

SBOMには、プロジェクトの依存関係のインベントリと関連情報が含まれます。バージョンとパッケージ識別子などです。 SBOM には、あなたのプロジェクトに依存している他のプロジェクトは含まれません。

UI からリポジトリのソフトウェア部品表をエクスポートする

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [ Insights] をクリックします。
左側のサイドバーで、 [Dependency graph] (依存関係グラフ) をクリックします。

       **[依存関係]** タブの右上にある **[SBOM のエクスポート]** をクリックして、ブラウザーからダウンロードするための SBOM ファイルを生成します。

REST API を使用してリポジトリのソフトウェア部品表をエクスポートする

REST API を使ってリポジトリの SBOM をエクスポートする場合は、「AUTOTITLE」を参照してください。

GitHub Actions

からソフトウェア部品表を生成する

次のアクションでは、リポジトリの SBOM が生成され、ワークフロー成果物としてアタッチされます。これをダウンロードして他のアプリケーションで使用できます。ワークフローのアーティファクトのダウンロードの詳細については、「ワークフローの成果物をダウンロードする」を参照してください。

アクション	詳細

          [SPDX 依存関係の送信アクション](https://github.com/marketplace/actions/spdx-dependency-submission-action) | 
          [Microsoft の SBOM ツール](https://github.com/microsoft/sbom-tool) を使用して、[サポートされているエコシステムを使用して SPDX 2.2 互換 SBOM を作成します](https://github.com/microsoft/component-detection/blob/main/docs/feature-overview.md) |

          [Anchore SBOM アクション](https://github.com/marketplace/actions/anchore-sbom-action) | 
          [Syft](https://github.com/anchore/syft)を使用して、[サポートされているエコシステムを持つ SPDX 2.2 互換 SBOM を作成します](https://github.com/anchore/syft#supported-ecosystems)  |

          [SBOM の依存関係送信アクション](https://github.com/marketplace/actions/sbom-submission-action)| 依存関係送信 API に CycloneDX SBOM をアップロードする |

リポジトリのソフトウェア部品表のエクスポート

この機能を使用できるユーザーについて

この記事で

UI からリポジトリのソフトウェア部品表をエクスポートする

REST API を使用してリポジトリのソフトウェア部品表をエクスポートする

GitHub Actions