Manifest CLI

SBOM 생성

manifest-cli sbom 명령을 통해 로컬 파일시스템, 컨테이너 등 다양한 대상에서 SBOM을 생성할 수 있습니다. 기본 생성기로 Syft를 사용하며, cdxgen, trivy, csbom 등 다양한 생성기를 선택할 수 있습니다. 생성된 SBOM은 CycloneDX JSON 또는 SPDX JSON 형식으로 출력할 수 있습니다.

SBOM 병합

manifest-cli merge 명령을 통해 두 개 이상의 SBOM을 동일한 형식으로 병합할 수 있습니다. 입력 형식(CycloneDX 또는 SPDX)을 지정하고, 병합된 SBOM에 이름을 할당할 수 있습니다.

워크플로우 자동화

manifest-cli workflow 명령을 통해 사전 정의된 프리셋 또는 사용자 정의 워크플로우 파일을 기반으로 명령 시퀀스를 실행할 수 있습니다. 예를 들어, C/C++ 프로젝트에 대한 sbb preset은 syft와 csbom을 실행하고 결과를 단일 CycloneDX SBOM으로 병합합니다.

생성기 설치 및 관리

manifest-cli install 명령을 통해 SBOM 생성기를 설치할 수 있습니다. Windows에서는 –native 플래그를 사용하여 WSL이나 Bash 없이 생성기를 설치할 수 있습니다. 지원되는 생성기에는 syft, trivy, cdxgen, csbom, docker-sbom, spdx-sbom-generator, sigstore-bom 등이 포함됩니다.

Manifest 플랫폼 게시

–publish 플래그를 사용하여 생성된 SBOM을 Manifest 플랫폼에 게시할 수 있습니다. 이 기능은 MANIFEST_API_KEY 환경 변수를 통해 API 토큰 인증이 필요합니다. 게시 시 –deactivate-older, –snapshot-label, –snapshot-timestamp 등의 옵션을 사용하여 버전 관리 및 스냅샷 기반 배포 환경을 동기화할 수 있습니다.

Manifest CLI는 무료로 사용할 수 있나요?

네, Manifest CLI는 MIT 라이선스 하에 오픈소스로 제공되어 무료로 사용할 수 있습니다.

Windows에서 WSL 없이 사용할 수 있나요?

네, –native 플래그를 사용하면 WSL이나 Bash 없이 Windows에서 생성기를 설치하고 사용할 수 있습니다. 단, sigstore-bom 생성기는 현재 Windows에서 생성 기능이 지원되지 않습니다.

Manifest 플랫폼에 SBOM을 게시하려면 무엇이 필요한가요?

Manifest 플랫폼에 SBOM을 게시하려면 MANIFEST_API_KEY 환경 변수를 통해 유효한 API 토큰이 필요합니다. 토큰은 Manifest 앱의 API 토큰 섹션에서 생성할 수 있으며, 적절한 범위 권한이 설정되어야 합니다.

}