Skip to content
Docker Scout ドキュメントハウツーDocker Scout SBOMs

Docker Scout SBOMs

イメージ分析はイメージの SBOM を使用して、イメージ内に含まれるパッケージやバージョンを把握します。Docker Scout は、イメージに SBOM アテステーションが存在する場合（推奨）にそれを使用します。SBOM アテステーションがない場合は、イメージ内容をインデックス化して新たに SBOM を生成します。

CLI での表示

Docker Scout が生成した SBOM の内容を表示するには、docker scout sbom コマンドを使用します。

$ docker scout sbom [IMAGE]

デフォルトでは、SBOM は JSON 形式で標準出力に表示されます。docker scout sbom のデフォルトの JSON 形式は SPDX-JSON ではありません。SPDX 形式で出力するには、--format spdx フラグを使用します。

$ docker scout sbom --format spdx [IMAGE]

人間が読みやすいリスト形式で出力するには、--format list フラグを使用します。

$ docker scout sbom --format list alpine
 
           Name             Version    Type
───────────────────────────────────────────────
  alpine-baselayout       3.4.3-r1     apk
  alpine-baselayout-data  3.4.3-r1     apk
  alpine-keys             2.4-r1       apk
  apk-tools               2.14.0-r2    apk
  busybox                 1.36.1-r2    apk
  busybox-binsh           1.36.1-r2    apk
  ca-certificates         20230506-r0  apk
  ca-certificates-bundle  20230506-r0  apk
  libc-dev                0.7.2-r5     apk
  libc-utils              0.7.2-r5     apk
  libcrypto3              3.1.2-r0     apk
  libssl3                 3.1.2-r0     apk
  musl                    1.2.4-r1     apk
  musl-utils              1.2.4-r1     apk
  openssl                 3.1.2-r0     apk
  pax-utils               1.3.7-r1     apk
  scanelf                 1.3.7-r1     apk
  ssl_client              1.36.1-r2    apk
  zlib                    1.2.13-r1    apk

docker scout sbom コマンドの詳細については、CLI リファレンスを参照してください。

ビルドアテステーションとして添付

ビルド時に SBOM を生成し、アテステーションとしてイメージに添付できます。BuildKit にはデフォルトの SBOM ジェネレーターがありますが、これは Docker Scout が使用するものとは異なります。Docker Scout SBOM ジェネレーターを使用するには、docker build コマンドの --attest フラグを設定します。Docker Scout SBOM インデクサーはより豊富な結果を提供し、Docker Scout のイメージ分析との互換性が向上します。

$ docker build --tag <org>/<image> \
  --attest type=sbom,generator=docker/scout-sbom-indexer:latest \
  --push .

SBOM アテステーションを含むイメージをビルドするには、containerd イメージストア機能を使用するか、docker-container ビルダーを --push フラグと組み合わせて使用し、イメージ（およびアテステーション）を直接レジストリにプッシュします。従来のイメージストアはマニフェストリストやイメージインデックスをサポートしていないため、アテステーションをイメージに追加することができません。

ファイルへのエクスポート

イメージの SBOM を SPDX JSON ファイルにエクスポートするコマンドは、イメージがレジストリにプッシュされているかローカルにあるかによって異なります。

リモートイメージ

リモートイメージの SBOM を抽出してファイルに保存するには、docker buildx imagetools inspect コマンドを使用します。このコマンドはレジストリにあるイメージにのみ対応しています。

$ docker buildx imagetools inspect <image> --format "{{ json .SBOM }}" > sbom.spdx.json

ローカルイメージ

ローカルイメージの SPDX ファイルを抽出するには、local エクスポーターと scout-sbom-indexer SBOM ジェネレーターを使用してビルドします。

次のコマンドは、build/sbom.spdx.json に SBOM を保存します。

$ docker build --attest type=sbom,generator=docker/scout-sbom-indexer:latest \
  --output build .
GUI を使用して例外を作成するVEX を使用して例外を作成する