Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

15.6. スキャンしたイメージから SBOM を生成する

RHACS を使用すると、スキャンされたコンテナーイメージから Software Bill of Materials (SBOM) を生成できます。

重要

スキャンされたコンテナーイメージから SBOM を生成する機能は、テクノロジープレビュー機能です。テクノロジープレビュー機能は、Red Hat 製品のサービスレベルアグリーメント (SLA) の対象外であり、機能的に完全ではないことがあります。Red Hat では、実稼働環境での使用を推奨していません。テクノロジープレビュー機能は、最新の製品機能をいち早く提供して、開発段階で機能のテストを行い、フィードバックを提供していただくことを目的としています。

Red Hat のテクノロジープレビュー機能のサポート範囲に関する詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。

SBOM を生成するには、Scanner V4 を有効にする必要があります。Scanner V4 を有効にする方法は、次のリソースを参照してください。

SBOM は、アプリケーション内のソフトウェアコンポーネント、依存関係、およびライブラリーの詳細な概要を提供します。RHACS は、Scanner V4 によって実行されたスキャンの結果を使用して SBOM を生成します。RHACS ポータル、roxctl CLI、または RHACS API を使用して SBOM を生成できます。

注記

Scanner V4 は、委譲スキャンの結果から SBOM を生成することはできません。委譲スキャンでは、セキュアクラスターを使用してイメージをインデックス化し、脆弱性のマッチングを行うためにデータを Central に送信します。SBOM 生成は、Central で設定された Scanner V4 を使用している場合にのみ利用できます。

15.6.1. SBOM について

Software Bill of Materials (SBOM) は、ソフトウェア部品のコンポーネントとその起源をリストしたデジタルレコードです。組織は SBOM を使用して脆弱なソフトウェアパッケージやコンポーネントの存在を特定し、より迅速に対応してリスクを軽減できます。さらに、SBOM を生成できれば、組織は Executive Order 14028: Improving the Nations Cybersecurity に準拠しやすくなります。

SBOM には、データ収集方法と生成方法に応じて、さまざまな種類の情報を含めることができます。Cybersecurity & Infrastructure Security Agency (CISA) は、SBOM のタイプをまとめた Types of Software Bill of Materials (SBOM) という資料を提供しています。

RHACS が生成する SBOM のタイプは "Analyzed" です。CISA は、これらのタイプの SBOM は、実行可能ファイル、パッケージ、コンテナー、仮想マシンイメージなどのアーティファクトの分析を通じて作成されると指摘しています。CISA がまとめているように、Analyzed SBOM には次のような利点があります。

  • アクティブな開発環境がなくてもソフトウェアに関する情報を提供できます。
  • ビルドプロセスにアクセスしなくても生成できます。
  • 他のツールでは見逃される可能性のある隠れた依存関係を発見するために使用できます。

RHACS は、System Package Data Exchange (SPDX) 2.3 形式の SBOM を生成します。

15.6.2. SBOM の生成

次の方法を使用して SBOM を生成できます。

RHACS ポータルを使用する

Vulnerability Management Results に移動し、使用するイメージを見つけます。次のいずれかのアクションを実行します。

  • イメージ行でオーバーフローメニュー kebab をクリックし、Generate SBOM を選択します。
  • イメージを選択してイメージの詳細を表示し、Generate SBOM をクリックします。

ウィンドウが開き、生成されたイメージと SBOM 形式に関する情報が表示されます。Generate SBOM をクリックすると、RHACS によって JSON 形式のファイルが作成されます。ブラウザーの設定によっては、ブラウザーがファイルを自動的にコンピューターにダウンロードする場合があります。

roxctl CLI を使用する

roxctl CLI で、次のコマンドを実行します。 

$ roxctl image sbom --image=image-name
1
Copy to Clipboard
1
SBOM を生成するイメージの名前と参照を文字列形式で入力します。たとえば、nginx:latest または nginx@sha256:… などです。

このコマンドには、以下のオプションがあります。

表15.10 オプション
オプション説明

-f、--force

Central のイメージのキャッシュをバイパスし、強制的に Scanner から新たにプルします。デフォルトは false です。

-d, --retry-delay integer

再試行間の待機時間を秒単位で設定します。デフォルトは 3 です。

-i, --image string

イメージ名と参照 (例: nginx:latest または nginx@sha256:…​)。

-r, --retries integer

エラーで終了する前に Scanner V4 が再試行する回数を設定します。デフォルトは 3 です。

API を使用する
RHACS API を使用して SBOM を作成できます。エンドポイントに接続して SBOM を生成するには、認可に ROX_API_TOKEN を使用する必要があります。リクエストペイロードは JSON 形式で生成されます。

詳細は、「API リファレンス」の「GenerateSBOM」を参照してください。

トップに戻る
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2025 Red Hat