Docker Scout SBOM 技术指南：查看与生成软件物料清单

Docker Scout SBOM 技术指南：查看与生成软件物料清单

docs Source repo for Docker's Documentation 项目地址: https://gitcode.com/gh_mirrors/docs3/docs

什么是SBOM

SBOM（Software Bill of Materials，软件物料清单）是现代软件开发中至关重要的组成部分，它详细列出了软件产品中包含的所有组件及其依赖关系。在容器化环境中，SBOM能够帮助开发者和管理者清晰地了解镜像中包含的所有软件包及其版本信息。

为什么需要SBOM

1. 安全合规：快速识别镜像中可能存在的安全问题
2. 供应链透明：了解软件供应链中的各个组件来源
3. 许可证管理：确保所有依赖组件符合企业许可证要求
4. 问题排查：当出现问题时，可以快速定位问题组件

使用Docker Scout查看SBOM

Docker Scout提供了简单易用的命令行工具来查看镜像的SBOM信息。

基本查看命令

docker scout sbom [IMAGE]

此命令默认以JSON格式输出SBOM内容，包含了镜像中所有软件包的详细信息。

输出格式选择

Docker Scout支持多种输出格式，满足不同场景需求：

1. SPDX格式（标准格式，适合工具链集成）

docker scout sbom --format spdx [IMAGE]

2. 列表格式（人类可读，适合快速查看）

docker scout sbom --format list alpine

示例输出会显示软件包名称、版本和类型（如apk、deb等）的清晰列表。

构建时生成SBOM

最佳实践是在构建镜像时就生成SBOM并附加为构建证明（attestation）。这能确保SBOM与镜像版本严格对应。

使用Docker Scout SBOM生成器

docker build --tag <org>/<image> \
  --attest type=sbom,generator=docker/scout-sbom-indexer:latest \
  --push .

这种方法相比BuildKit默认的SBOM生成器具有以下优势：

• 提供更丰富的结果数据
• 与Docker Scout分析功能更好的兼容性
• 更准确的软件包识别

注意事项

使用构建证明功能时需要注意：

1. 必须使用containerd镜像存储功能
2. 或者使用docker-container构建器并配合--push标志
3. 传统镜像存储不支持添加证明

导出SBOM到文件

根据镜像存储位置不同，导出方法有所区别。

远程镜像（已推送到仓库）

docker buildx imagetools inspect <image> --format "{{ json .SBOM }}" > sbom.spdx.json

本地镜像

docker build --attest type=sbom,generator=docker/scout-sbom-indexer:latest \
  --output build .

此命令会在build目录下生成sbom.spdx.json文件。

SBOM的实际应用场景

1. 安全审计：定期检查所有镜像的SBOM，识别已知问题
2. 版本升级：通过SBOM了解依赖关系，规划升级路径
3. 合规报告：为合规要求提供软件组成证明
4. 事故响应：出现安全事件时快速定位受影响组件

总结

Docker Scout提供的SBOM功能为容器化应用提供了完整的软件供应链可视化能力。通过在构建阶段生成SBOM并持续监控，团队可以显著提升软件的安全性和可维护性。建议将SBOM生成作为CI/CD流水线的标准步骤，并将其纳入软件发布流程。

docs Source repo for Docker's Documentation 项目地址: https://gitcode.com/gh_mirrors/docs3/docs