2.2. SBOM을 다운로드하거나 볼 수 있도록 OpenShift Pipelines 설정

프로세스

1. 개발자 또는 관리자 관점에서 SBOM의 시각적 표현이 필요한 관련 프로젝트로 전환합니다.

2. 다음 형식으로 작업을 추가하여 SBOM 정보를 보거나 다운로드합니다.

   SBOM 작업 예

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     name: sbom-task 

   1

   
     annotations:
       task.output.location: results  

   2

   
       task.results.format: application/text
       task.results.key: LINK_TO_SBOM  

   3

   
       task.results.type: external-link  

   4

   
   spec:
     results:
       - description: Contains the SBOM link  

   5

   
         name: LINK_TO_SBOM
     steps:
       - name: print-sbom-results
         image: quay.io/image  

   6

   
         script: | 

   7

   
           #!/bin/sh
           syft version
           syft quay.io/<username>/quarkus-demo:v2 --output cyclonedx-json=sbom-image.json
           echo 'BEGIN SBOM'
           cat sbom-image.json
           echo 'END SBOM'
           echo 'quay.io/user/workloads/<namespace>/node-express/node-express:build-8e536-1692702836' | tee $(results.LINK_TO_SBOM.path) 

   8

   1

   작업 이름입니다.

   2

   작업 출력을 저장하는 위치입니다.

   3

   SBOM 작업 결과 이름입니다. SBOM 결과 작업의 이름을 변경하지 마십시오.

   4

   (선택 사항) 새 탭에서 SBOM을 열도록 설정합니다.

   5

   결과에 대한 설명입니다.

   6

   SBOM을 생성하는 이미지입니다.

   7

   SBOM 이미지를 생성하는 스크립트입니다.

   8

   경로 이름과 SBOM 이미지입니다.

3. 새로 생성된 SBOM 작업을 참조하도록 Pipeline을 업데이트합니다.

   ...
   spec:
     tasks:
       - name: sbom-task
         taskRef:
           name: sbom-task 

   1

   
     results:
       - name: IMAGE_URL  

   2

   
         description: url
         value: <oci_image_registry_url> 

   3

   1

   2단계에서 만든 것과 동일한 이름입니다.

   2

   결과 이름입니다.

   3

   .sbom 이미지를 포함하는 OCI 이미지 리포지토리 URL입니다.

4. 영향을 받는 OpenShift 파이프라인을 다시 실행합니다.