SBOM、もう難しくありません！🤯 bomコマンドでSBOMを簡単に作成

10月 25, 2026

—

こんにちは！👋 今日は、ソフトウェアサプライチェーンセキュリティの核心であるSBOM（Software Bill of Materials）についてお話しし、ターミナルでコマンド1つでSBOMを簡単に作成できる素晴らしいツール、bomをご紹介します。

📜 SBOMとは一体何ですか？

お菓子を一袋買うときでも、裏面にはどんな材料が使われているか成分表示が丁寧に書かれていますよね？SBOMはまさにソフトウェアの成分表示です。

自分のアプリケーションを構築するために使用されたすべてのオープンソースライブラリ、フレームワーク、モジュールなどのリストと、そのバージョン、ライセンス情報を含む仕様書と言えます。最近のLog4j事件のように、オープンソースの脆弱性が大きな波紋を呼ぶ中、自分が使用するソフトウェアにどのような部品が含まれているかを把握するSBOMの重要性は日々高まっています。🛡️

しかし…いざSBOMを作成しようとすると、途方に暮れるかもしれません。「プロジェクトのすべての依存関係をどうやって見つけ出せばいいんだ？」という悩みが浮かびます。まさにそんな時、私たちを救ってくれるヒーローが登場します！✨

✨ Kubernetesが選んだSBOMツール、bomコマンド！

bomは、KubernetesのSIG-Release（リリース管理グループ）が開発しているオープンソースのSBOM生成ツールです。複雑な設定なしに、簡単なコマンドでソースコードディレクトリ、コンテナイメージなど、さまざまな対象からSBOMを簡単に生成できるように支援します。

bomの主な利点！

🚀 シンプルで高速： インストールも使い方も非常に簡単で、誰でもすぐに始めることができます。
🌐 標準形式をサポート： SBOMの二大巨頭であるSPDXとCycloneDXフォーマットの両方をサポートしており、他のセキュリティツールと簡単に連携できます。
💪 多機能： ソースコードディレクトリだけでなく、Dockerのようなコンテナイメージ、さらには単一ファイルに対してもSBOM生成が可能です。

🛠️ bomのインストールから始めましょうか？

bomはさまざまな方法でインストールできます。最も便利な方法を選択してください！

1. Homebrewを使用 (macOS/Linux) 🍺 最も簡単な方法です。ターミナルに以下のコマンドを入力するだけでインストール完了！

brew install bom

2. Go言語でインストール 🐹 Goがインストールされている場合は、以下のコマンドでインストールできます。

go install sigs.k8s.io/bom/cmd/bom@latest

3. リリースバイナリをダウンロード 💻 公式GitHubリリースページから、自分のOSに合ったバイナリファイルを直接ダウンロードして使用することもできます。

インストールが完了したら、ターミナルでバージョン確認コマンドを実行して、正常にインストールされたか確認してください！

bom version

👨‍💻 さあ、SBOMを実際に作成してみましょう！ (主要な使い方)

bomの使い方は非常に直感的です。最もよく使われる2つのシナリオを見てみましょう。

シナリオ1：ソースコードディレクトリからSBOMを生成する 📂

プロジェクトのソースコードがあるディレクトリを分析してSBOMを作成する、最も一般的なケースです。

基本的な使い方 プロジェクトの最上位ディレクトリに移動し、以下のコマンドを実行してみてください。

# 現在のディレクトリ(.)を分析してSBOMを生成
bom generate -d .

すると、ターミナルにプロジェクトが依存するパッケージリストがずらりと表示されるのがわかります。

標準形式でファイルに保存する ターミナル出力の代わりに、標準形式（SPDXまたはCycloneDX）でファイルに保存するのが一般的です。-fまたは–formatオプションを使用します。

# SPDX形式(JSON)でSBOMファイルを生成
bom generate -d . -f spdx-json > bom.spdx.json

# CycloneDX形式(JSON)でSBOMファイルを生成
bom generate -d . -f cyclonedx-json > bom.cdx.json

このように生成されたbom.spdx.jsonまたはbom.cdx.jsonファイルは、セキュリティスキャナーに入力したり、資産管理システムにアップロードして活用できます。📝

シナリオ2：コンテナイメージからSBOMを生成する 🚢

DevOps環境では、コンテナイメージの構成要素を把握することが非常に重要です。bomはイメージ名を指定するだけで、すぐに分析を開始します。

基本的な使い方 -iまたは–imageオプションを使用して、分析したいコンテナイメージを指定します。

# 公式nginx:latestイメージを分析
bom generate -i nginx:latest

標準形式でファイルに保存する 同様に、-fオプションを使用してファイルに保存できます。

# nginxイメージのSBOMをCycloneDX形式で保存
bom generate -i nginx:latest -f cyclonedx-json > nginx-sbom.cdx.json

これで、コンテナイメージ内部にどのようなソフトウェアパッケージがインストールされているかを透明に確認できるようになりました！🔍

✅ 終わりに

ソフトウェアサプライチェーンセキュリティの第一歩は、自分が何を使用しているかを知ることから始まります。SBOMはもはや専門家だけの領域ではありません。bomのような優れたツールのおかげで、私たち全員がプロジェクトの成分表示を簡単に作成し、管理できるようになりました。

今すぐあなたのプロジェクトにbomを適用して、隠れた依存関係を確認し、より安全なソフトウェアを作成してみてはいかがでしょうか？

詳細情報が必要な場合は、bom公式GitHubリポジトリをご覧ください！

タグ: SBOM, Software Bill of Materials, bom, CLI, Security, DevSecOps, Kubernetes, Open Source, CycloneDX, SPDX, ソフトウェアサプライチェーンセキュリティ