第 3 章 常见问题解答

Red Hat Trusted Profile Analyzer 是 Red Hat Trusted Software Supply Chain 套件中的一个产品，它可帮助组织管理和分析 Materials (SBOMs)、供应商 VEX (Vulnerability Exploitability eXchange)和 CVE （通用漏洞和风险）信息。它允许安全性、开发人员和 DevSecOps 团队在自定义、第三方和开源软件组件中评估风险配置文件，而不会减慢开发速度或增加操作复杂性。

红帽的 Trusted Profile Analyzer 服务通过分析应用程序的 SBOM 以了解开源软件(OSS)依赖项的漏洞风险，来提供应用程序风险。RHTPA 服务具有来自 CVE 聚合器和红帽安全公告的漏洞信息。

Trusted Profile Analyzer 服务是 红帽混合云控制台 上的托管实例。您可以通过将其直接上传到服务，使用此服务免费来评估 SBOM 的风险配置集。红帽不会保留 SBOM 的副本。

红帽受信任的配置文件分析器非常适合需要管理和保护其软件供应链（尤其是使用开源和第三方组件的软件）的软件开发、安全性和操作(DevSecOps)。

Red Hat Trusted Profile Analyzer 通过使机构能够：

受信任的配置文件分析器为 SBOMs 创建软件清单提供存储和管理，允许组织支持内部应用程序和第三方的软件组件的综合记录。受信任的配置文件分析器支持带有 CVE 和通用安全公告框架(CSAF) VEX 安全公告的 SBOM 中的跨引用组件，并提供应用程序风险配置文件，确保软件供应链中的透明度。

受信任的配置文件分析器是红帽内部软件供应链的重要部分。它为红帽提供了 SBOM 存储、风险性能分析和分析的真实来源。

受信任的 Profile Analyzer 可以分析直接从构建过程中生成的源代码创建的 SBOM，或者由分析工件（如容器和软件包）生成。

受信任的配置文件分析器支持以 CycloneDX 1.6 或较低格式 SBOM，以及 SPDX 2.3 或较低格式。

将 RHTPA 集成到您的 CI/CD 管道中就像为 SBOM 生成添加任务一样简单，并将它上传到受信任的配置文件分析器服务。

您可以在 Red Hat Enterprise Linux 或 Red Hat Openshift Container Platform 上部署 RHTPA。如需了解更多详细信息，请参阅 RHTPA 部署指南。

请参阅 Red Hat Developers 上的 Red Hat Trusted Profile Analyzer 概述页面 以了解更多信息、文档和资源来帮助您入门。