2.2. 设置 OpenShift Pipelines 以下载或查看 SBOM

流程

1. 在 Developer 或 Administrator 视角中，切换到需要 SBOM 的可视化表示的相关项目。

2. 使用以下格式添加任务来查看或下载 SBOM 信息：

   SBOM 任务示例

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     name: sbom-task 1
     annotations:
       task.output.location: results  2
       task.results.format: application/text
       task.results.key: LINK_TO_SBOM  3
       task.results.type: external-link  4
   spec:
     results:
       - description: Contains the SBOM link  5
         name: LINK_TO_SBOM
     steps:
       - name: print-sbom-results
         image: quay.io/image  6
         script: | 7
           #!/bin/sh
           syft version
           syft quay.io/<username>/quarkus-demo:v2 --output cyclonedx-json=sbom-image.json
           echo 'BEGIN SBOM'
           cat sbom-image.json
           echo 'END SBOM'
           echo 'quay.io/user/workloads/<namespace>/node-express/node-express:build-8e536-1692702836' | tee $(results.LINK_TO_SBOM.path) 8

   1

   任务的名称。

   2

   存储任务输出的位置。

   3

   SBOM 任务结果名称。不要更改 SBOM 结果任务的名称。

   4

   （可选） 设置以在新标签页中打开 SBOM。

   5

   结果的描述。

   6

   生成 SBOM 的镜像。

   7

   生成 SBOM 镜像的脚本。

   8

   SBOM 镜像以及路径名称。

3. 更新 Pipeline，以引用新创建的 SBOM 任务。

   ...
   spec:
     tasks:
       - name: sbom-task
         taskRef:
           name: sbom-task 1
     results:
       - name: IMAGE_URL  2
         description: url
         value: <oci_image_registry_url> 3

   1

   与在第 2 步中创建的名称相同。

   2

   结果的名称。

   3

   包含 .sbom 镜像的 OCI 镜像存储库 URL。

4. 重新运行受影响的 OpenShift Pipeline。