リポジトリのソフトウェア部品表のエクスポート

業界標準の SPDX 形式を使用して、リポジトリの依存関係グラフの現在の状態をソフトウェア部品表 (SBOM) としてエクスポートできます。

SBOM には、プロジェクトの依存関係のインベントリと、バージョン、パッケージ識別子、ライセンス、推移的パス、著作権情報などの関連情報が含まれます。 SBOM には、あなたのプロジェクトに依存している他のプロジェクトは含まれません。

メモ

GHE.comでは、依存関係の分析情報と、依存関係グラフ内のライセンスとパッケージのメタデータは現在使用できません。依存関係グラフ自体は、リポジトリレベルで引き続き使用できます。「GitHub Enterprise Cloud とデータ所在地の機能の概要」を参照してください。

UI からリポジトリのソフトウェア部品表をエクスポートする

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [ Insights] をクリックします。
左側のサイドバーで、 [Dependency graph] (依存関係グラフ) をクリックします。
[依存関係] タブの右上にある [SBOM のエクスポート] をクリックして、ブラウザーからダウンロードするための SBOM ファイルを生成します。

REST API を使ってリポジトリの SBOM をエクスポートする場合は、「AUTOTITLE」を参照してください。

次のアクションでは、リポジトリの SBOM が生成され、ワークフロー成果物としてアタッチされます。これをダウンロードして他のアプリケーションで使用できます。ワークフローのアーティファクトのダウンロードの詳細については、「ワークフローの成果物をダウンロードする」を参照してください。

アクション	詳細情報

SBOM の依存関係送信アクション| 依存関係送信 API に CycloneDX SBOM をアップロード |