docker scout sbom

描述生成或顯示映象的 SBOM
用法docker scout sbom [IMAGE|DIRECTORY|ARCHIVE]

描述

docker scout sbom 命令分析軟體工件以生成軟體物料清單 (SBOM)。

SBOM 包含映象中所有包的列表。您可以使用 --format 標誌過濾命令的輸出，以僅顯示特定型別的包。

如果未指定映象，則使用最近構建的映象。

支援以下工件型別：

  • 映象
  • OCI 佈局目錄
  • 由 docker save 建立的 Tarball 存檔
  • 本地目錄或檔案

預設情況下，該工具需要一個映象引用，例如：

  • redis
  • curlimages/curl:7.87.0
  • mcr.microsoft.com/dotnet/runtime:7.0

如果您要分析的工件是 OCI 目錄、tarball 存檔、本地檔案或目錄，或者如果您想控制映象的解析來源，則必須在引用前加上以下字首之一：

  • image:// （預設）使用本地映象，或回退到登錄檔查詢
  • local:// 使用本地映象儲存中的映象（不進行登錄檔查詢）
  • registry:// 使用登錄檔中的映象（不使用本地映象）
  • oci-dir:// 使用 OCI 佈局目錄
  • archive:// 使用由 docker save 建立的 tarball 存檔
  • fs:// 使用本地目錄或檔案

選項

選項預設值描述
--formatjson輸出格式
- list：映象包的列表
- json：SBOM 的 json 表示
- spdx：SBOM 的 spdx 表示
- cyclonedx：SBOM 的 cyclone dx 表示
--only-package-type以逗號分隔的包型別列表（如 apk、deb、rpm、npm、pypi、golang 等）
只能與 --format list 一起使用
-o, --output將報告寫入檔案
--platform要分析的映象平臺
--ref如果提供的 tarball 包含多個引用，則使用的引用。
只能與 archive 一起使用

示例

顯示包列表

$ docker scout sbom --format list alpine

僅顯示特定型別的包

 $ docker scout sbom --format list --only-package-type apk alpine

以 JSON 格式顯示完整 SBOM

$ docker scout sbom alpine

顯示最近構建映象的完整 SBOM

$ docker scout sbom

將 SBOM 寫入檔案

$ docker scout sbom --output alpine.sbom alpine