建立軟體物料清單 (SBOM)

2022 年 2 月，美國國家標準暨技術研究院 (NIST) 發布了安全軟體開發架構 (SSDF) 1.1 版，這是一套全面的安全軟體開發實務指引，旨在回應 2021 年網路安全行政命令 (EO) 14028。

根據這些規定，美國政府可能會要求提供軟體物料清單 (SBOM)，列出軟體發行版本中的元件。

系統會為 Android 持續整合 (Android CI) 建構作業自動產生 SBOM。如果您使用其中一個 CI 建構版本，請按照下列步驟取得建構版本的 SBOM。如否，請按照步驟產生自訂 SBOM。

取得預先產生的 SBOM

如要取得預先產生的 SBOM：

  1. 在瀏覽器中前往 ci.android.com。

  2. 在「Enter a branch name」(輸入分支名稱) 欄位中，輸入 aosp-android-latest-release。

  3. 如要查看狀態為綠色的任何建構版本，請按一下「查看構件」向下箭頭。系統會顯示「建構構件」畫面。

  4. 在「建構構件」畫面中，使用尋找指令找出 SBOM JSON 資料夾 (CTRL+F 或 CMD+F)。

產生自訂 SBOM

如要在平台上新增任何內容，包括任何二進位檔或建構及發布工具鍊，您必須提供符合「軟體物料清單 (SBOM) 最低元素」規定的產品 SBOM 表示法。如要產生自訂 SBOM，請按照下列步驟操作：

  1. 執行下列指令來設定環境並建構 SBOM：

    $ source build/envsetup.sh
$ lunch TARGET
$ m sbom # Generates an SBOM

    TARGET 是指您用來建構 Android 的相同建構目標，例如 aosp_arm64-userdebug。

  2. 如要確保 SBOM 建構正確無誤，請執行下列指令：

    $ ls out/dist/sbom*