依存関係とライセンススキャンのためのコンポーネント

このコンポーネントは、GitLabがプロジェクトの依存関係とそのライセンスを特定するために使用するCycloneDXソフトウェア部品表（Software Bill of Materials）を生成します。このCycloneDXソフトウェア部品表はGitLabの分類法と互換性があります。さらに、このコンポーネントは、プロジェクトの依存関係で検出された脆弱性から依存関係スキャンレポートを生成することもできます。

必要条件

このCI/CDコンポーネントには、GitLabの依存関係スキャン機能、GitLab Ultimate機能が必要です。

使用方法

以下のスニペットを .gitlab-ci.yml に追加して、デフォルト設定で dependency-scanning ジョブを実行します。

include:
  - component: $CI_SERVER_FQDN/components/dependency-scanning/main@<VERSION>

また、CI/CDコンポーネントの入力を使用してジョブをカスタマイズすることもできます。例えば、以下の設定でログレベルとジョブステージを設定できます。

include:
  - component: $CI_SERVER_FQDN/components/dependency-scanning/main@<VERSION>
    inputs:
      log_level: "debug"
      stage: "security-scanning"

[!note] コンポーネントのバージョンを設定してください。リリースされたバージョンは、プロジェクトのタグセクションにあります。コンポーネントのバージョニングと利用可能なオプションの詳細については、コンポーネントバージョンのドキュメントを参照してください。

入力

許可されている入力の完全なリストについては、カタログページを参照してください。

コントリビュート

1. GitLab開発へのコントリビュート方法とGitLab公式CI/CDコンポーネントの開発ガイドをお読みください。
2. マージリクエストを送信し、ボットの指示に従ってください。

リリースプロセス

1. 未リリースの変更ログを changie batch auto で昇格させます。
2. changie merge で CHANGELOG.md を更新します。
3. 変更ログの最新バージョンを使用して、git tag "$(changie latest -r)" && git push origin "$(changie latest -r)" で新しいリリースを作成します。