GitHub Action for SBOM Generation 常见问题解决方案

GitHub Action for SBOM Generation 常见问题解决方案

sbom-action GitHub Action for creating software bill of materials using Syft. 项目地址: https://gitcode.com/gh_mirrors/sb/sbom-action

1. 项目基础介绍和主要编程语言

本项目是GitHub上的一个开源项目，旨在通过GitHub Actions自动生成软件物料清单（SBOM）。SBOM是一种记录软件组件和依赖关系的清单，常用于安全合规性和漏洞管理。该项目的核心是使用Syft工具进行扫描，并将生成的SBOM以SPDX格式输出。主要编程语言是JavaScript，使用了Node.js环境。

2. 新手在使用这个项目时需要特别注意的3个问题及解决步骤

问题一：如何将SBOM Action集成到现有工作流中？

解决步骤：

1. 打开你的GitHub仓库，进入想要集成的项目。

2. 转到项目的工作流目录（通常位于.github/workflows/）。

3. 创建一个新的工作流文件或者编辑现有文件。

4. 添加以下步骤到你的工作流中：

   - uses: anchore/sbom-action@v0
   

5. 保存工作流文件，并推送到仓库。GitHub会自动运行工作流，并生成SBOM。

问题二：如何扫描特定的容器镜像？

解决步骤：

1. 在工作流文件中，使用image参数指定想要扫描的容器镜像。

   - uses: anchore/sbom-action@v0
     with:
       image: 'ghcr.io/example/image_name:tag'
   

2. 如果需要，也可以通过registry-username和registry-password参数提供容器注册表的认证信息。

   - uses: anchore/sbom-action@v0
     with:
       image: 'my-registry.com/my/image'
       registry-username: 'mr_awesome'
       registry-password: '${{ secrets.REGISTRY_PASSWORD }}'
   

3. 保存并推送工作流文件。

问题三：如何将SBOM作为发布资产？

解决步骤：

1. 确保工作流有足够的权限来读取构建产物并写入发布资产。在工作的permissions字段中添加以下配置：

   permissions:
     actions: read
     contents: write
   

2. 在发布步骤中，添加以下配置，确保SBOM作为发布资产：

   - uses: actions/create-release@v1
     env:
       GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
     with:
       tag_name: 'v1.0.0'
       release_name: 'Release v1.0.0'
       draft: false
       prerelease: false
   - uses: anchore/sbom-action@v0
     with:
       upload: true
   

3. 保存并推送工作流文件。每次发布新版本时，SBOM将被自动上传为发布资产。

通过以上步骤，新手可以更加顺利地集成和使用SBOM Action，以自动化生成和管理软件物料清单。

sbom-action GitHub Action for creating software bill of materials using Syft. 项目地址: https://gitcode.com/gh_mirrors/sb/sbom-action