| sitelink1 | https://www.omnibuscode.com/board/board_security/64576 |
|---|---|
| sitelink2 | https://www.omnibuscode.com/kanban/?cont...ject_id=34 |
| sitelink3 | https://www.omnibuscode.com/board/board_security/64588 |
| sitelink4 | |
| extra_vars5 | |
| extra_vars6 |
[개요]
"[FOSSLight/검토용] 프로젝트 스캔, SBOM데이터 추출, 정제, 최종 산출 문서 생성" 작업 결과로
최종 완성된 sbom-info.yml 과 dependency scan 결과를 관리용 Project 에 등록 후
identification 작업으로 최종 산출물인 SBOM SPDX 문서를 추출한다.
[절차]
* Project 를 Prechecker 로 sbom 데이터 추출
- 개발팀에서 작성한 yml 문서를 prechecker 의 convert 명령어를 이용하여 excel 문서로 추출
- '명령 프롬프트' 실행
- cd C:\Users\tobesoft\Documents\qc_works\sbom\FOSSLight\
- py38_env\Scripts\activate.bat
- fosslight_master_pre_conv.bat
* FOSSLight Hub의 project / identification 단계에서 BIN 탭에 엑셀 파일 등록
- 등록하자마자 붉은색의 'New open source', 'New license', 'New version' 목록들이 주륵 나오는데...
'Binary Name' 없는 목록들이고 실제 파일 경로들이 지정되지 않은 목록이므로 'Exclude' 처리한다. (Exclude 컬럼을 체크하고 디스켓 버튼으로 저장)
* 테이블 바로 위 "Pre-Review > Open Source" 메뉴에서 오류 목록 확인 (확인만하고 조치는 하지말자, 잘못 가이드하는 경우가 많아서)
* 오류 목록의 oss info 를 취합하여 파일로 사내 특화된 정보만 필터하고 샘플로 정제
* AI에 샘플 파일을 분석하게 하여 'download location' 과 'homepage' 등에서 라이선스 정보 확인
* 최종 수정 항목을 정리후 다음과 같이 처리
- 'New open source' 또는 'New license' 오류의 경우 'Open Source' 와 'License' 메뉴에서 신규 등록
> 동일한 oss 로 version 만 다른 경우가 있다, 이때는 oss name 에 version 을 명기해서 신규 oss로 등록하여 중복을 피한다. (hub의 한계다)
. 예시) Microsoft Edge WebView2 SDK[1.0.622.22], Microsoft Edge WebView2 SDK[1.0.1518.46]
> open source 정보 등록시 참고 내용 : https://www.omnibuscode.com/board/board_security/64588
> license 정보 등록시 참고 내용 : https://www.omnibuscode.com/board/board_security/64589
- TFS Git 저장소의 master 브랜치에 반영 (정기 진행중인 경우엔 release 반영후 master 에 동시 반영)
* sbom-info.yaml 이 수정된 경우 prechecker convert 를 다시 수행하여 excel 파일을 재등록
- 'Bin'탭의 우측에 'reset' 버튼 클릭 (디스켓 아이콘 왼쪽에 위치한 버튼으로 전체 목록을 삭제한다)
- reset 후 디스켓 모양 버튼으로 저장한다.
- excel 을 재등록후 오류 항목들을 재점검한다.
* Packing 단계로 진입
- 붉은색 Required 가 모두 사라졌다면 'BOM'탭에서 저장 버튼 클릭 (디스켓 모양)
- 'Request' 버튼으로 다음 진행
- 데이터 확인후 'Review Start' 진행
> Review Start 를 누르면 DEP, SRC, BIN 에는 더이상 항목 변경이 불가하게 된다.
- 'Confirm' 버튼 클릭
* SBOM 문서 출력
- 'Packaging' 단계로 진입하면 'Notice' 탭으로 이동
- 하단의 콤보에서 'SPDX(JSON)' 을 선택
- 'download' 버튼으로 SBOM 파일 다운로드
