2.2. SBOM をダウンロードまたは表示するための OpenShift Pipeline の設定

手順

1. 開発者 または 管理者 のパースペクティブで、SBOM を視覚的に表現する関連プロジェクトに切り替えます。

2. SBOM 情報を表示またはダウンロードするには、次の形式でタスクを追加します。

   SBOM タスクの例

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     name: sbom-task 

   1

   
     annotations:
       task.output.location: results  

   2

   
       task.results.format: application/text
       task.results.key: LINK_TO_SBOM  

   3

   
       task.results.type: external-link  

   4

   
   spec:
     results:
       - description: Contains the SBOM link  

   5

   
         name: LINK_TO_SBOM
     steps:
       - name: print-sbom-results
         image: quay.io/image  

   6

   
         script: | 

   7

   
           #!/bin/sh
           syft version
           syft quay.io/<username>/quarkus-demo:v2 --output cyclonedx-json=sbom-image.json
           echo 'BEGIN SBOM'
           cat sbom-image.json
           echo 'END SBOM'
           echo 'quay.io/user/workloads/<namespace>/node-express/node-express:build-8e536-1692702836' | tee $(results.LINK_TO_SBOM.path) 

   8

   Copy to Clipboard Toggle word wrap

   1

   タスクの名前。

   2

   タスク出力を保存する場所。

   3

   SBOM タスク結果名。SBOM 結果タスクの名前を変更しないでください。

   4

   (オプション) SBOM を新しいタブで開くように設定します。

   5

   結果の説明。

   6

   SBOM を生成するイメージ。

   7

   SBOM イメージを生成するスクリプト。

   8

   SBOM イメージとパス名。

3. 新しく作成された SBOM タスクを参照するようにパイプラインを更新します。

   ...
   spec:
     tasks:
       - name: sbom-task
         taskRef:
           name: sbom-task 

   1

   
     results:
       - name: IMAGE_URL  

   2

   
         description: url
         value: <oci_image_registry_url> 

   3

   Copy to Clipboard Toggle word wrap

   1

   手順 2 で作成した名前と同じ名前。

   2

   結果の名前。

   3

   .sbom イメージを含む OCI イメージリポジトリー URL。

4. 影響を受ける OpenShift Pipeline を再実行します。