リポジトリのソフトウェア部品表のエクスポート

依存関係グラフと SBOM のエクスポートについて

依存関係グラフは、リポジトリに格納されているマニフェストおよびロック ファイル、および 依存関係送信 API を使用してリポジトリに送信された依存関係の概要です。 それぞれのリポジトリについて、以下が表示されます:の依存関係、すなわちリポジトリが依存するエコシステムとパッケージ。

依存関係ごとに、 脆弱性の重大度を確認できます。 検索バーを使用して、特定の依存関係を検索することもできます。 依存関係は、脆弱性の重大度によって自動的に並べ替えられます。

GitHub Enterprise Server を使っても、依存関係のライセンス情報は取得されず、依存関係に関する情報、リポジトリに依存するリポジトリとパッケージは計算されません。

業界標準の SPDX 形式を使用して、リポジトリの依存関係グラフの現在の状態をソフトウェア部品表 (SBOM) としてエクスポートできます。

• GitHub UI を使用して
• REST API を使用して

SBOM は、プロジェクトの依存関係と関連情報 (バージョンやパッケージ識別子など) の、機械で読み取り可能な正式なインベントリです。 SBOM は、次の方法でサプライ チェーンのリスクを軽減するのに役立ちます。

• リポジトリで使用される依存関係に関する透明性を提供する
• プロセスの早い段階で脆弱性を特定できるようにする
• コードベースに存在する可能性があるライセンス コンプライアンス、セキュリティ、または品質の issue に関する分析情報を提供する
• さまざまなデータ保護基準をより適切に遵守できるようにする

会社が大統領令 14028 に従って米国連邦政府にソフトウェアを提供する場合は、製品の SBOM を提供する必要があります。 また、監査プロセスの一環として SBOM を使用し、それらを使って規制および法的要件に準拠することもできます。

UI からのリポジトリのソフトウェア部品表のエクスポート

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [分析情報] をクリックします。

   

3. 左側のサイドバーで、 [Dependency graph] (依存関係グラフ) をクリックします。

4. [依存関係] タブの右上にある [SBOM のエクスポート] をクリックして、ブラウザーからダウンロードするための SBOM ファイルを生成します。

REST API を使ったリポジトリのソフトウェア部品表のエクスポート

REST API を使ってリポジトリの SBOM をエクスポートする場合については、「ソフトウェア部品表 (SBOM) 用の REST API エンドポイント」を参照してください。