Generating SBOMs for container images once they're built by TaskRun
Maintainer thường phản hồi trong vòng 2 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 5/5
- Thời gian dự kiến
- Hơn một tuần
- Mức phù hợp với người mới
- 25/100
- Loại issue
- Tính năng
- Độ rõ ràng
- Cần làm rõ
- Mức độ hoạt động
- Đình trệ
- Công nghệ
- go
- Lĩnh vực
- build-system, security
Hướng nghiên cứu
Bắt đầu bằng việc xem xét luồng TaskRun đã hoàn tất và cách các container image đã được build được xử lý. So sánh các công cụ và định dạng SBOM được liệt kê, sau đó xác định một hướng tạo và ký SBOM sau khi image hoàn tất; được xem là hoàn thành khi phương pháp được chọn được tích hợp vào quy trình Tekton Pipeline.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Feature request
We (w/@dentrax @erkanzileli) propose generating SBOMs once the images are built when Taskrun has been completed, then signing them. I want to list the tools that can help us to do that:
- https://github.com/anchore/syft
- https://github.com/anchore/sbom-action
- https://github.com/CycloneDX/gh-gomod-generate-sbom
- https://github.com/spdx/spdx-sbom-generator
- https://github.com/tern-tools/tern
- https://github.com/CycloneDX/cyclonedx-cli
- https://github.com/kubernetes/release/tree/master/cmd/bom
cc: @luhring @puerco @cpanato @nishakm @dlorenc
Use case
SBOMs are really needed to understand the software and libraries being used during your build and deployment cycle. There are several methods designed specifically for delivering SBOMs, including SPDX (Software Package Data Exchange), Software Identification (SWID) Tags, and Cyclone DX. So, we can use one of these formats to identify how our images were built during the Tekton Pipeline process.
- Ngôn ngữ chính
- Go
- Star
- 279
- Fork
- 171
- Merge trung bình
- 2 ngày 4 giờ
- Pull request đã merge (30 ngày)
- 70
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Có mẫu pull request
- Đọc hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của tektoncd/chains
-
Add missing fields in `config.md` docsCó thể đã có người làm @cvas22 đã nhận 19 ngày trước. Đang mởkind/feature lifecycle/frozen
Độ khó 1/5 1-3 giờ Mức phù hợp với người mới 65/100
tektoncd/chains#748 · 3 bình luận ·
Maintainer thường phản hồi trong vòng 2 ngày
-
Độ khó 5/5 Hơn một tuần Mức phù hợp với người mới 42/100
tektoncd/chains#2024 · 2 reaction ·
Maintainer thường phản hồi trong vòng 2 ngày
-
Bug: MarkSigned called despite signer-load or format-not-found failures (signed=true with no signature)Có thể đã có người làm @anithapriyanatarajan đã nhận 119 ngày trước. Đang mởkind/bug
tektoncd/chains#1796 · 1 người được giao ·
Maintainer thường phản hồi trong vòng 2 ngày
-
Warn when non-default TUF mirror URL is configuredCó thể làm lại được @anithapriyanatarajan đã nhận 167 ngày trước và không có pull request nào đang mở. Đang mởkind/feature
tektoncd/chains#1665 · 1 bình luận · 1 người được giao ·
Maintainer thường phản hồi trong vòng 2 ngày
-
Warn or block when OCI storage uses result-derived registry without storage.oci.repositoryCó thể đã có người làm @ahmedbektic đã nhận 39 ngày trước. Đang mởkind/feature
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 62/100
Maintainer thường phản hồi trong vòng 2 ngày
Tất cả issue của tektoncd/chains
Issue tương tự
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 67/100
Maintainer thường phản hồi trong vòng 2 ngày
-
build: make check-linter version tests deterministicCó thể đã có người làm Có pull request liên kết đang mở hoặc đã được merge. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
Maintainer thường phản hồi trong vòng 1 ngày
-
GitHub webhook is not subscribed to release events, so `event: release` never triggersCó thể đã có người làm @qsun đã nhận hôm nay. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
woodpecker-ci/woodpecker#7542 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 74/100
zilliztech/milvus-backup#1386 ·
Maintainer thường phản hồi trong vòng 1 ngày