# SBOM

ある **ソフトウェア部品表（SBOM）** は、ソフトウェア内のすべてのオープンソースコンポーネント、その内容、使用しているバージョン、作成者、適用されるライセンスを整理した一覧です。顧客、監査人、規制当局はこれを求めることが増えており、サプライチェーン全体で脆弱性やライセンス義務を追跡するための基盤になります。

形式、エクスポート先、VEX、およびこのファイルに含まれる内容については、 [SBOM と VEX のエクスポート](https://help.aikidogov.us/docs/docs-ja/compliance-and-reporting/licenses-and-sbom-overview/sbom-and-vex-export).

## SBOM のダウンロード

クリックします **SBOM をダウンロード** ページヘッダーでエクスポートダイアログを開きます。エクスポートには常にあなたの **現在のフィルター**が反映されるので、1つのリポジトリまたは1つのコンテナイメージの SBOM だけが必要な場合は、まずそれに絞り込んでください。

### 形式を選択

エクスポート形式は次の 2 つから選べます：

* **CSV**：各パッケージ、そのバージョン、ライセンス、場所をカンマ区切りで並べた一覧です。Excel に取り込んで臨時の分析を行うのに便利です。
* **SPDX**：Software Package Data Exchange（SPDX）は、主にオープンソースのライセンス準拠と著作権に関連する、公開された SBOM 標準です。
* **CycloneDX**：SBOM の業界標準フォーマットで、ほぼすべての SBOM 利用ツール、スキャナー、コンプライアンスプラットフォームに対応しています。

### CycloneDX のオプション

CycloneDX を選ぶと、追加の切り替え項目が 3 つ表示されます：

* **VEX 分析を含める**：VEX は *Vulnerability Exploitability eXchange*。SBOM だけでは *使用しているパッケージがわかるだけで、*VEX では *どのパッケージに既知の脆弱性があるかがわかり、* **と** *影響を受けているかどうかもわかります*。その理由も含まれます。
* **パッケージのハッシュを含める**：各パッケージのハッシュを追加し、そのパッケージバージョンの正確な内容を一意に識別します。ハッシュにより、入手したパッケージが、記載したものとバイト単位で同一であり、改ざんされていないことを誰でも確認できます。
* **依存関係を含める**：このオプションでは、パッケージ間の関係が追加されます。つまり、どのパッケージがプロジェクトの直接依存で、どのパッケージが他のパッケージを通じて間接的に取り込まれているかがわかります。

SBOM がライセンス管理だけを目的としているなら、これらのオプションは安全に無視できます。

## 自分で生成した SBOM の監視

自分で生成した SBOM のアップロードについて詳しくは、 [SBOM をアップロードする](https://help.aikidogov.us/docs/docs-ja/code-scanning/miscellaneous/generate-sbom-based-on-open-source-packages).