Você pode exportar o estado atual do grafo de dependências do seu repositório como uma lista de materiais de software (SBOM) usando o formato padrão do setor SPDX.
Os SBOMs incluem um inventário das dependências de um projeto e informações associadas, como versões, identificadores de pacote, licenças, caminhos transitivos e informações de direitos autorais. Os SBOMs não incluem dependentes (outros projetos que dependem do seu projeto).
Observação
Em GHE.com, as informações sobre dependências e os metadados de licença e pacote no grafo de dependências não estão disponíveis no momento. O grafo de dependência em si permanece disponível no nível do repositório. Consulte Visão geral de recursos do GitHub Enterprise Cloud com residência de dados.
Exportar uma lista de materiais de software para o repositório na interface do usuário
-
Em GitHub, acesse a página principal do repositório.
-
No nome do repositório, clique em Insights.
-
Na barra lateral esquerda, clique em Grafo de dependência.
-
No canto superior direito da guia Dependências, clique em Exportar SBOM para gerar um arquivo SBOM para download no navegador.
Exportar uma lista de materiais de software para o repositório usando a API REST
Se você deseja usar a API REST para exportar um SBOM para seu repositório, consulte Pontos de extremidade da API REST para lista de materiais de software (SBOM).
Gerando uma lista de materiais de software a partir de GitHub Actions
As ações a seguir vão gerar uma SBOM para seu repositório e o anexarão como um artefato de fluxo de trabalho que você pode baixar e usar em outros aplicativos. Para obter mais informações sobre como baixar artefatos de fluxo de trabalho, consulte Baixar artefatos do fluxo de trabalho.
| Ação | Detalhes |
|---|
Ação de Submissão de Dependência SPDX | Usa a ferramenta SBOM da Microsoft para criar SBOMs compatíveis com SPDX 2.2 com os ecossistemas suportados |
Ação Anchore SBOM | Usa Syft para criar SBOMs compatíveis com SPDX 2.2 com os ecossistemas suportados |
Ação de Submissão de Dependência SBOM| Faz upload de um SBOM CycloneDX para API de envio de dependência |