製作軟體物料清單 (SBOM)

2022 年 2 月，美國國家標準暨技術研究院 (NIST) 發布了安全軟體開發架構 (SSDF) 1.1 版，這是一套針對2021 年網路安全行政命令 (EO) 14028 所制定的安全軟體開發實務綜合指南。

美國政府可能會要求提供 軟體物料清單 (SBOM)，列出軟體版本的元件。

系統會自動為 Android 持續整合 (Android CI) 建構作業產生 SBOM。如果您使用其中一個 CI 建構，請按照下列步驟取得建構的 SBOM。否則，請按照產生自訂 SBOM的步驟操作。

取得預先產生的 SBOM

如何取得預先產生的 SBOM：

1. 透過瀏覽器前往 ci.android.com。

2. 在「Enter a branch name」欄位中輸入 aosp-main。

3. 針對狀態為綠色的任何版本，請按一下「View artifacts」向下箭頭。畫面上會顯示「Build Artifact」畫面。

4. 在「Build artifacts」畫面中，使用「Find」指令找出 SBOM JSON 檔案 (CTRL+F 或 CMD+F)。

產生自訂 SBOM

針對平台的任何新增項目 (包括任何二進位檔或建構和發布工具鍊)，您必須提供符合 軟體物料清單 (SBOM) 的最低元素 的產品 SBOM 表示法。如要產生自訂的 SBOM，請按照下列步驟操作：

1. 執行下列指令來設定環境並建構 SBOM：

   $ source build/envsetup.sh
   $ lunch TARGET
   $ m sbom # Generates an SBOM

   TARGET 是指您用來建構 Android 的相同建構目標，例如 aosp_arm64-userdebug。

2. 為確保 SBOM 建構正確無誤，請執行：

   $ ls out/dist/sbom*