建立軟體物料清單 (SBOM)

2022 年 2 月，美國國家標準與技術研究院 (NIST) 發布了安全軟體開發框架 (SSDF) 1.1 版，這是響應2021 年網路安全行政命令 (EO) 14028 的一套關於安全軟體開發實踐的綜合指南。

作為這些要求的一部分，美國政府可能會要求提供軟體物料清單 (SBOM) ，其中列出了軟體版本的元件。

注意：使用本頁上的步驟產生的 SBOM 包括國家電信和資訊管理局 (NTIA) 發布的軟體物料清單 (SBOM) 的最小元素。此外，基於 Android 的 SBOM 工具和產品 SBOM 與軟體包資料交換 (SPDX) 2.3格式相容，用於通訊與軟體包關聯的元件和元資料資訊。

SBOM 是為 Android 持續整合 (Android CI) 版本自動產生的。如果您使用 CI 建置之一，請使用下列步驟取得建置的 SBOM 。否則，請按照以下步驟產生自訂 SBOM 。

取得預先生成的 SBOM

若要取得預先產生的 SBOM：

1. 在瀏覽器中，導航至ci.android.com 。

2. 在輸入分支名稱欄位中，輸入aosp-main 。

3. 對於任何處於綠色狀態的構建，請按一下“查看工件”向下箭頭。將出現“建置工件”畫面。

4. 在「建置工件」畫面中，使用 find 指令尋找 SBOM JSON 檔案（ CTRL+F或CMD+F ）。

產生自訂 SBOM

對於平台的任何添加，包括任何二進位或建置和發布工具鏈，您必須提供符合軟體物料清單 (SBOM) 最小元素的產品的 SBOM 表示。要產生自訂 SBOM：

1. 執行以下命令來設定環境並建置 SBOM：

   $ source build/envsetup.sh
   $ lunch TARGET
   $ m sbom # Generates an SBOM
   

   TARGET指的是您用於建立 Android 的相同建置目標，例如aosp_arm64-userdebug 。

2. 為了確保正確建置 SBOM，請執行：

   $ ls out/dist/sbom*