kubernetes-sigs/cluster-api

Security Self-Assessment: [STRIDE-TAMPER-1] Produce a SBoM

Offen

#6.153 geöffnet am 16.02.2022

Auf GitHub ansehenContributor Guide
 (32 Kommentare) (0 Reaktionen) (1 zugewiesene Person)Go (1.532 Forks)auto 404
area/securityhelp wantedkind/featurepriority/backlogsig/securitytriage/accepted

Repository-Metriken

Stars
 (4.267 Sterne)
PR-Merge-Metriken
 (PR-Metriken ausstehend)

Beschreibung

User Story

As a cluster operator, i want to know the list of dependencies Cluster API brings for assurance within our organisation's software supply chain.

Detailed Description

  • Create SBoM of all the Cluster API components and verify checksum as a post build action

cc @PushkarJ for adding more details.

/kind feature /area security

Contributor Guide

Research-Richtung
Recherchieren Sie SBoM Generierungstools (z.B. syft, trivy, SPDX) und untersuchen Sie die vorhandenen Build Skripte und die CI Pipeline. Identifizieren Sie, wo die Prüfsummenüberprüfung als Post Build Schritt hinzugefügt werden kann. Suchen Sie nach vorhandenen Issues oder PRs zu SBoM als Leitfaden.
Tech Stack
go
Domain
securitydevops
Issue Type
Funktion
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
3-5 Tage
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
GoDockerKubernetesBuild systems
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
65