Die BlueSpice Software-Stückliste (SBOM) wird bei jeder neuen Version aktualisiert. Sie ist gemäß der SPDX-Spezifikation formatiert und als JSON-Datei serialisiert.
Zugriff auf die SBOM
Um auf die SBOM zuzugreifen und sie zu scannen, sind mehrere Schritte erforderlich. Die erforderlichen Befehle erwarten die folgenden Parameter:
| Parameter | Mögliche Werte |
|---|---|
| Ausgabe | Pro, Farm, kostenlos |
| Version | z. B. 5.1, 5.4.3 |
| Dienstleistung | Die Leistungen variieren je nach Ausgabe und Version. Zu den üblichen Leistungen gehören:
wiki-task, proxy, cache, pdf, search, formula, diagram,... |
First, pull the application image for the desired edition and version:
docker pull docker.bluespice.com/bluespice/$edition/wiki:$version
Then, inspect the attachments with ORAS (oras requires login data):
oras discover docker.bluespice.com/bluespice/$edition/wiki:$version
Do the same for service images:
Pull the image:
docker pull docker.bluespice.com/bluespice/$service:$version
Inspect the attachments:
oras discover docker.bluespice.com/bluespice/$service:$version
Download the attachments (provide the actual sha-string):
oras pull docker.bluespice.com/bluespice/$edition/wiki@sha265'shaofattachements'
or for services:
oras pull docker.bluespice.com/bluespice/$service@sha265'shaofattachements'
Die SBOM-Datei befindet sich in Ihrem aktuellen Ordner unter dem Namen „ sbom.json “.
You can now scan your SBOM files. Below is a scanning example for Trivy:
docker run --rm \ -v "$PWD:/work:ro" \ aquasec/trivy:0.72.0 \ sbom \ --severity CRITICAL \ --ignore-unfixed \ --exit-code 1 \ /work/sbom.json
