Состав ПО (aft-sbom)#
Состав ПО (SBOM, Software Bill of Materials) - это перечень всего, что входит в сборку: компоненты, их версии, лицензии и источники. AFT формирует состав в формате CycloneDX, пригодном для проверки сторонними сканерами уязвимостей и для собственного поиска уязвимостей AFT.
Состав ПО формируется автоматически при сборке приложений, сред выполнения и расширений. Кроме того, его можно получить отдельно: для уже установленного приложения и для готовой rootfs среды выполнения. Для этого служат две команды.
Из чего состоит раздел#
Состав установленного приложения - состав установленного приложения (команда aft-flatpak-sbom) и источники, из которых он собирается.
Состав среды выполнения - состав готовой rootfs среды выполнения (команда aft-sbom-generator).
Формат и использование - структура документа CycloneDX и его использование сканерами.
Две команды#
aft-flatpak-sbom#
aft-flatpak-sbom [опции] <идентификатор> - собрать состав установленного
Flatpak-приложения. Подробно - в блоке Состав установленного приложения.
aft-sbom-generator#
aft-sbom-generator [опции] <путь-к-rootfs> <идентификатор-среды> - собрать
состав готовой rootfs среды выполнения. Подробно - в блоке Состав среды выполнения.
Обе команды формируют документ в формате CycloneDX (cyclonedx-json) и не требуют прав администратора.