创建软件物料清单 (SBOM)

2022 年 2 月，美国国家标准与技术研究院 (NIST) 发布了安全软件开发框架 (SSDF) 1.1 版，这是一套有关安全软件开发实践的全面指南，以响应 2021 年信息安全行政命令 (EO) 14028。

作为这些要求的一部分，美国政府可能会要求提供软件物料清单 (SBOM)，其中列出软件版本的组件。

注意：按照本页中的步骤生成的 SBOM 包含由美国国家电信和信息管理局 (NTIA) 发布的 软件物料清单 (SBOM) 的最少必需元素。此外，基于 Android 的 SBOM 工具和产品 SBOM 还兼容软件包数据交换 (SPDX) 2.3 格式，以传达与软件包相关的组件和元数据信息。

SBOM 是系统自动为 Android 持续集成 (Android CI) build 生成的。如果您使用其中一个 CI build，请按照以下步骤为 build 获取 SBOM。不然的话，请按照相应步骤生成自定义 SBOM。

获取预生成的 SBOM

如需获取预生成的 SBOM，请执行以下操作：

1. 在浏览器中，前往 ci.android.com。

2. 在 Enter a branch name 字段中，输入 aosp-main。

3. 对于任一个处于绿色状态的 build，点击查看工件下拉箭头。“构建工件”界面将会显示。

4. 在“构建工件”界面中，使用 find 命令找到 SBOM JSON 文件（按 CTRL+F 键或 CMD+F 键）。

生成自定义 SBOM

对于平台的任何新增内容（包括任何二进制文件或 build 和发布工具链），您提供的产品 SBOM 表述必须符合软件物料清单 (SBOM) 的最少必需元素。如需生成自定义 SBOM：

1. 运行下方的命令以设置您的环境并构建 SBOM：

   $ source build/envsetup.sh
   $ lunch TARGET
   $ m sbom # Generates an SBOM

   TARGET 是指您用于构建 Android 的同一构建目标，例如 aosp_arm64-userdebug。

2. 为确保正确构建 SBOM，请执行：

   $ ls out/dist/sbom*