kubernetes-sigs/cluster-api

Security Self-Assessment: [STRIDE-TAMPER-1] Produce a SBoM

Aberta

#6.153 aberto em 16 de fev. de 2022

Ver no GitHubGuia do colaborador
 (32 comentários) (0 reação) (1 responsável)Go (1.532 forks)auto 404
area/securityhelp wantedkind/featurepriority/backlogsig/securitytriage/accepted

Métricas do repositório

Stars
 (4.267 estrelas)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

User Story

As a cluster operator, i want to know the list of dependencies Cluster API brings for assurance within our organisation's software supply chain.

Detailed Description

  • Create SBoM of all the Cluster API components and verify checksum as a post build action

cc @PushkarJ for adding more details.

/kind feature /area security

Guia do colaborador

Direção de pesquisa
Pesquise ferramentas de geração de SBoM (ex.: syft, trivy, SPDX) e examine os scripts de build existentes e o pipeline de CI. Identifique onde a verificação de checksum pode ser adicionada como uma etapa pós build. Procure por issues ou PRs existentes relacionados a SBoM para obter orientação.
Pilha de tecnologia
go
Domain
securitydevops
Tipo Issue
Funcionalidade
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
3-5 dias
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GoDockerKubernetesBuild systems
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
65