CRAコンプライアンスのための機能
ビルド時SBOM、脆弱性トラッキング、そしてCyber Resilience Actへの対応プロセスに必要なエビデンス
SBOM生成
CRACIはビルド中にSBOMを記録します。パッケージを認識するプロキシが、CIキャッシュから復元されたパッケージを含め、各ジョブが実際に取得したものを観測し、すべてのSBOMに完全性の状態が付きます。推移的依存関係と宣言ライセンスを含めてCycloneDXまたはSPDXでエクスポートでき、出荷するソフトウェアに何が含まれているかを正確に把握できます。
詳しく見る →脆弱性トラッキング
CRACIは新しい脆弱性が公開されるたびに監視対象のSBOMを再評価し続け、ビルドとリポジトリをまたいで検出結果を集約します。セキュリティチームは検出結果をトリアージして修正を担うチームに送ります。VEXにも対応しています。自社のベンダーから収集したSBOMも、ビルドと並べて監視されます。
詳しく見る →CRAエビデンス
CRAの技術文書に必要なエビデンスを収集できます。ビルド時SBOMは、コンポーネントで見つかった脆弱性を含めてCycloneDXまたはSPDXでエクスポートでき、APIはSBOM、ネットワークトレース、来歴を返します。CRACIは、CRA対応プロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。
詳しく見る →CI/CD連携
CRACIが置き換えるのはランナーであり、GitHub Actionsではありません。runs-onをcraciに変更しても、実行結果は引き続きGitHubに表示されます。すべてのジョブは取得したものを記録し、ジョブ開始前に検証されフェイルクローズで動作するエグレスポリシーのもとで実行されます。現在はGitHub Actionsに対応しており、その他のCIシステムはロードマップに掲載されています。
詳しく見る →スタックの中でのCRACIの位置付けは、CRACIが置き換えるもの、併用するものをご覧ください。