> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/konpuraiansutorepto/licenses-and-sbom-overview/sbom-and-vex-export.md).

# SBOM と VEX のエクスポート

Aikido から CycloneDX、SPDX、または CSV 形式のソフトウェア部品表をエクスポートし、セキュリティチームが必要とする場合は VEX の悪用可能性ステートメントを追加します。

監査人、顧客、または調達チームからソフトウェアの機械可読インベントリを求められた場合、必要なのはファイル形式と、エクスポートの対象範囲を明確に示す境界です。このページではその両方を提供します。項目レベルの詳細は [SBOM](/docs/docs-ja/konpuraiansutorepto/licenses-and-sbom-overview/sbom.md).

## 今日エクスポートできるもの

| 成果物      | 形式                         | 場所                                       |
| -------- | -------------------------- | ---------------------------------------- |
| **SBOM** | CycloneDX 1.6、SPDX 2.3、CSV | ダッシュボードとAPI                              |
| **VEX**  | CycloneDX 1.6              | ダッシュボード。CycloneDX SBOM のエクスポート時のオプションとして |

SBOM（Software Bill of Materials）は、ソフトウェア内のすべてのオープンソースコンポーネントを列挙します。つまり、それが何で、どのバージョンを使っていて、誰が作成し、どのライセンスの下にあるかを示します。VEX（Vulnerability Exploitability eXchange）文書はさらに踏み込み、各脆弱性について、影響を受けているかどうかとその理由を示します。監査人は通常 SBOM を求めます。あなたの下流にいるセキュリティチームは通常、両方を求めます。

Aikido は現在のスキャンデータから必要に応じて両方を生成します。エクスポートは即時で、キューに入ることはありません。

## 3つの CycloneDX オプションと、その使いどころ

エクスポートダイアログで CycloneDX を選ぶと、3つのトグルが表示されます。

* **VEX 分析を含める** 脆弱性ごとの悪用可能性の記述を追加します。受け手がセキュリティチームの場合、またはインベントリとあわせて能動的な脆弱性管理を示す場合に有効にしてください。
* **パッケージのハッシュを含める** パッケージごとにハッシュを追加します。これにより、受け手はコンポーネントがバイト単位であなたの一覧どおりであることを検証できます。M\&A、調達、改ざんの証跡が重要なケースではこれを有効にしてください。
* **依存関係を含める** 関係グラフを追加します。どのパッケージが直接依存で、どれが推移的に取り込まれているかを示します。

SBOM が純粋にライセンス追跡のためだけなら、3つともオフのままにしてください。 [SBOM](/docs/docs-ja/konpuraiansutorepto/licenses-and-sbom-overview/sbom.md) 同じオプションを項目ごとに説明しています。

CycloneDX VEX では、Aikido は悪用可能性を *analysis.state* フィールドで記録し、推奨アクション（たとえば修復の助言）は *analysis.response* フィールドに記載されます。

## エクスポートの経路

### ダッシュボードから

{% stepper %}
{% step %}

### Licenses & SBOM を開く

次へ移動します： **レポート >** [**ライセンスと SBOM**](https://app.aikido.dev/licenses).
{% endstep %}

{% step %}

### 必要な範囲に絞り込む

エクスポートは常に現在のフィルターを反映するため、先に絞り込み、後でエクスポートしてください。ライセンスタイプ、言語、リスクレベル、コンテナ設定、そしてページ上部のドロップダウンからチームで絞り込めます。
{% endstep %}

{% step %}

### SBOMをダウンロード

クリックします **SBOM をダウンロード** をページヘッダーで選択し、形式を選んでください。
{% endstep %}
{% endstepper %}

{% hint style="info" %}
マルチブランチスキャンを使用している場合は、エクスポート前にドロップダウンでブランチリポジトリを選択してください。各ブランチごとに独自の SBOM が生成されます。
{% endhint %}

### 単一コンテナから

コンテナを開き、次を選択します **Actions > Export RAW SBOM**。これは、レポートレベルのフィルターに関係なく、その 1 つのコンテナイメージのみを返します。参照: [コンテナのRAW SBOMをエクスポートする](/docs/docs-ja/kontenaimjisukyan/configuration/export-raw-sbom-of-your-containers.md).

### APIから

Export SBOM エンドポイントを使って、SBOM をプログラムで生成・ダウンロードします。コードリポジトリとコンテナは、ダッシュボードの分かれ方に合わせて別々のエンドポイントがあります。

* [ソースコードの SBOM をエクスポートする](https://apidocs.aikido.dev/reference/exportcoderepolicenses)
* [コンテナの SBOM をエクスポートする](https://apidocs.aikido.dev/reference/exportcontainerrepolicenses)

以下を参照してください [API 認可ドキュメント](https://apidocs.aikido.dev/reference/authorization) をあなたの API キーに対して。

## 1つの文書か、複数か？

どの経路を取るかによって、1つの統合ファイルをエクスポートすることも、コンテナごとに1つのファイルをエクスポートすることもできます。

* **1つの文書。** からのフィルターなしのエクスポート **レポート > ライセンスと SBOM** は、コードリポジトリ、コンテナイメージ、そして自己申告の SBOM アップロードを 1つのファイルにまとめます。自己申告アップロードが含まれるのは、コンテナエントリとして保存されるためです。
* **個別の文書。** 個別のコンテナページからのエクスポート、またはコンテナごとの API エンドポイントからのエクスポートは、そのコンテナだけを返します。

SBOM を求められたら 1つの文書を使ってください。顧客が出荷済みの 1つのイメージについて尋ねてきた場合は、別の文書を使ってください。

{% hint style="info" %}
複数のリポジトリ（バックエンドやフロントエンドなど）を 1つの製品SBOMにまとめることができます。これは、Cyber Resilience Act（CRA）のような規制で特に有用です。この規制では、2027年12月11日から、ヨーロッパで販売されるほぼすべてのデジタル製品に対して SBOM が必須文書になります。
{% endhint %}

Buildroot や Yocto のような組み込みビルドから生成された自己作成 SBOM は、 [Upload Container SBOM API](https://apidocs.aikido.dev/reference/uploadcontainersbom)を通じてアップロードできます。その後、次の下に表示されます **コンテナ** のレジストリラベル **自己申告 SBOM**。 [オープンソースパッケージに基づいてSBOMを生成する](/docs/docs-ja/kdosukyan/miscellaneous/generate-sbom-based-on-open-source-packages.md) ビルドコマンド用に。

## 形式を自分で確認する

自分のアカウントから CycloneDX 1.6 をエクスポートし、形式を確定する前にそのファイルをあなたのパイプラインに通してください。完全な SBOM には、コンポーネント、バージョン、供給元、ライセンスが一覧表示されます。次をオンにしてください **VEX 分析を含める** 脆弱性ごとの悪用可能性の記述を追加するために。あのファイルは、あなたのアカウント内のどのプロジェクトでも得られるのと同じ出力です。

パイプラインが SPDX 2.3 または CSV を想定している場合は、 **レポート > ライセンスと SBOM**から直接それらをエクスポートしてください。CycloneDX は最も詳細な情報を持ちます。VEX、パッケージハッシュ、依存関係グラフは CycloneDX のみです。参照: [範囲と制限](#scope-and-limits).

## 範囲と制限

ここは監査人がよく確認し直すポイントです。

* エクスポートは、エクスポート時点の現在の依存関係グラフを反映します。Aikido は最新のスキャンデータからその場で生成します。
* Aikido が保持するのは現在の状態です。ある日付時点でソフトウェアに何が含まれていたかを証明するには、自分でスナップショットを保存してください。下のパターンを参照してください。
* コンテナの対象範囲はレイヤーレベルです。スキャンされたコンテナレイヤー内のパッケージが含まれます。マニフェストのないファームウェアイメージや実行ファイルについては、ビルド時に SBOM を生成し、自己申告 SBOM としてアップロードしてください。
* VEX は CycloneDX のみです。SPDX と CSV のエクスポートはインベントリを一覧表示します。

{% hint style="warning" %}
90日前を含め、過去のある日時における SBOM を取得することはできません。記録保管はあなた側で行います。
{% endhint %}

## 推奨パターン: ある時点の証跡

ある日付時点でソフトウェアに何が含まれていたかを証明する必要がある場合（リリース監査、Cyber Resilience Act（CRA）や Medical Device Regulation（MDR）の義務、または保持条項付きの顧客契約など）、SBOM アーカイブを自社側で構築してください。ファイルをエクスポートして技術文書に保存するだけの定期ジョブで済みます。

{% stepper %}
{% step %}

### 定期的にエクスポート

から手動でエクスポート **レポート > ライセンスと SBOM**、または次を通じて自動化します [Export SBOM エンドポイント](https://apidocs.aikido.dev/reference/exportcoderepolicenses).
{% endstep %}

{% step %}

### スケジュールを意味のあるものに紐づける

各リリースごとに1回、または90日ごとのような固定間隔でエクスポートしてください。リリースごとのほうが、顧客が名前を挙げられるバージョン番号に成果物が一致するため、より強い証拠になります。
{% endstep %}

{% step %}

### スナップショットを保存する

自分のオブジェクトストレージまたはアーティファクトリポジトリに保管してください。ファイル名にはエクスポート日とリリースタグを入れ、自分の保持ポリシーを適用してください。
{% endstep %}

{% step %}

### SBOM に VEX を含める

VEX をアーカイブしておけば、生成時点での正確な脆弱性状態と既知のセキュリティリスクを確実に記録できます。これにより、リリース後に新しい脆弱性が見つかっても、将来の監査人からの質問を防げます。
{% endstep %}
{% endstepper %}

Aikido は、監査人が求める形式で、必要なときに現在の状態を提供します。タイムラインはあなたが保持し、定期エクスポートするだけで十分です。

## 関連

* [SBOM](/docs/docs-ja/konpuraiansutorepto/licenses-and-sbom-overview/sbom.md)：エクスポートダイアログを項目ごとに
* [CRA コンプライアンス](https://github.com/AikidoSec/docs/tree/main/compliance-and-reporting/compliance-and-reporting/how-aikido-enables-compliance/cra-compliance.md)：Aikido が CRA コンプライアンスをどのように実現するか
* [オープンソースライセンス](/docs/docs-ja/konpuraiansutorepto/licenses-and-sbom-overview/licenses.md)：パッケージごとのライセンスリスクとライセンスグループ
* [オープンソースパッケージに基づいてSBOMを生成する](/docs/docs-ja/kdosukyan/miscellaneous/generate-sbom-based-on-open-source-packages.md)：Buildroot、Yocto、および自己申告アップロード
* [セキュリティ監査レポート](/docs/docs-ja/konpuraiansutorepto/reports/security-audit-report.md)：監査人が SBOM とあわせて求める共有可能なレポート
* [コンプライアンス報告](/docs/docs-ja/konpuraiansutorepto/reports/compliance-reporting.md)：ISO 27001、SOC 2、その他のフレームワークレポート

## ヘルプが必要ですか？

を開き、 **Intercomチャット** 右下隅にあります。私たちのチームがお手伝いします！


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://help.aikido.dev/docs/docs-ja/konpuraiansutorepto/licenses-and-sbom-overview/sbom-and-vex-export.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.