リポジトリのソフトウェア部品表のエクスポート

業界標準の SPDX 形式を使用して、リポジトリの依存関係グラフの現在の状態をソフトウェア部品表 (SBOM) としてエクスポートできます。

SBOMには、プロジェクトの依存関係のインベントリと関連情報が含まれます。バージョン、パッケージ識別子、ライセンス、推移的パス、著作権情報などです。 SBOM には、あなたのプロジェクトに依存している他のプロジェクトは含まれません。

UI からリポジトリのソフトウェア部品表をエクスポートする

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [ Insights] をクリックします。
左側のサイドバーで、 [Dependency graph] (依存関係グラフ) をクリックします。
[依存関係] タブの右上にある [SBOM のエクスポート] をクリックして、ブラウザーからダウンロードするための SBOM ファイルを生成します。

REST API を使ってリポジトリの SBOM をエクスポートする場合は、「AUTOTITLE」を参照してください。

次のアクションでは、リポジトリの SBOM が生成され、ワークフロー成果物としてアタッチされます。これをダウンロードして他のアプリケーションで使用できます。ワークフローのアーティファクトのダウンロードの詳細については、「ワークフローの成果物をダウンロードする」を参照してください。

アクション	詳細

SBOM の依存関係送信アクション| 依存関係送信 API に CycloneDX SBOM をアップロードする |