Generating SBOMs for container images once they're built by TaskRun
I maintainer di solito rispondono entro 2 giorni
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 25/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Da chiarire
- Stato di attività
- Ferma
- Stack tecnologico
- go
- Ambito
- build-system, security
Direzione di ricerca
Inizia esaminando il flusso TaskRun completato e il modo in cui vengono gestite le immagini container create. Confronta gli strumenti e i formati SBOM elencati, quindi definisci un percorso che generi e firmi una SBOM dopo il completamento dell’immagine; il lavoro è considerato completato quando l’approccio selezionato è integrato nel processo Tekton Pipeline.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Feature request
We (w/@dentrax @erkanzileli) propose generating SBOMs once the images are built when Taskrun has been completed, then signing them. I want to list the tools that can help us to do that:
- https://github.com/anchore/syft
- https://github.com/anchore/sbom-action
- https://github.com/CycloneDX/gh-gomod-generate-sbom
- https://github.com/spdx/spdx-sbom-generator
- https://github.com/tern-tools/tern
- https://github.com/CycloneDX/cyclonedx-cli
- https://github.com/kubernetes/release/tree/master/cmd/bom
cc: @luhring @puerco @cpanato @nishakm @dlorenc
Use case
SBOMs are really needed to understand the software and libraries being used during your build and deployment cycle. There are several methods designed specifically for delivering SBOMs, including SPDX (Software Package Data Exchange), Software Identification (SWID) Tags, and Cyclone DX. So, we can use one of these formats to identify how our images were built during the Tekton Pipeline process.
- Lingua principale
- Go
- Stelle
- 279
- Fork
- 171
- Merge medio
- 2g 4h
- PR unite (30g)
- 70
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di tektoncd/chains
-
Add missing fields in `config.md` docsForse già presa @cvas22 l’ha presa 18 giorni fa. Apertakind/feature lifecycle/frozen
Difficoltà 1/5 1-3 ore Idoneità per principianti 65/100
tektoncd/chains#748 · 3 commenti ·
I maintainer di solito rispondono entro 2 giorni
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 42/100
tektoncd/chains#2024 · 2 reazioni ·
I maintainer di solito rispondono entro 2 giorni
-
Bug: MarkSigned called despite signer-load or format-not-found failures (signed=true with no signature)Forse già presa @anithapriyanatarajan l’ha presa 118 giorni fa. Apertakind/bug
tektoncd/chains#1796 · 1 assegnatario ·
I maintainer di solito rispondono entro 2 giorni
-
Warn when non-default TUF mirror URL is configuredForse di nuovo libera @anithapriyanatarajan l’ha presa 166 giorni fa e non c’è nessuna pull request aperta. Apertakind/feature
tektoncd/chains#1665 · 1 commento · 1 assegnatario ·
I maintainer di solito rispondono entro 2 giorni
-
Warn or block when OCI storage uses result-derived registry without storage.oci.repositoryForse già presa @ahmedbektic l’ha presa 38 giorni fa. Apertakind/feature
Difficoltà 3/5 1-2 giorni Idoneità per principianti 62/100
I maintainer di solito rispondono entro 2 giorni
Tutte le issue di tektoncd/chains
Issue simili
-
Support kubevirt CRDsAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
rancher/rancher-ai-mcp#206 ·
I maintainer di solito rispondono entro 1 giorno
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 85/100
open-telemetry/opentelemetry-go-compile-instrumentation#1743 ·
I maintainer di solito rispondono entro 2 giorni
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
tomasz-tomczyk/crit#1159 ·
I maintainer di solito rispondono entro 1 giorno
-
SelectOneHealthyInstance panics when instance weights are fractional (e.g. 0.5)Forse già presa @Ajax-1 l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
nacos-group/nacos-sdk-go#929 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
google/osv-scanner#3270 ·
I maintainer di solito rispondono entro 1 giorno