Debianパッケージに対する依存関係を含むSPDX ファイルの自動生成ツール

• Item type: SIG Technical Reports(1)
• 公開日: 2022-07-21
• タイトル: Debianパッケージに対する依存関係を含むSPDX ファイルの自動生成ツール
• タイトル / 言語: en
• タイトル: SPDX file generation tool for Debian packages including dependency relations
• 言語: jpn
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 大阪大学大学院情報科学研究科
• 著者所属: 福知山公立大学情報学部大阪大学大学院情報科学研究科
• 著者所属: 南山大学理工学部ソフトウェア工学科
• 著者所属(英): en
• 著者所属(英): Faculty of Engineering, First University
• 著者所属(英): en
• 著者所属(英): Faculty of Informatics, The University of Fukuchiyama
• 著者所属(英): en
• 著者所属(英): Faculty of Engineering, First University
• 著者所属(英): en
• 著者所属(英): Faculty of Science and Technology, Nanzan University
• 著者名: 田邉, 傑士; 眞鍋, 雄貴; 神田, 哲也; 井上, 克郎
• 著者名(英): Taketo, Tanabe; Yuki, Manabe; Tetuya, Kanda; Katsuro, Inoue
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 近年，サプライチェーン上のリスクを管理するため SBoM（Software Bill of Materials）の導入が進んでいる．SPDX（Software Package Data Exchange）は主要な SBoM の仕様の 1 つであり，利用者にライセンスを遵守させることを目的の一つとして作成された． 他方，ライセンスを遵守するには依存関係を理解しておくことが重要である．しかし現状，依存関係を含めた SPDX ファイルを自動生成するツールは見受けられない．そこで本研究では Debian パッケージを対象に依存関係の記述を含めた SPDX ファイルを自動生成するツールを開発した．その結果，依存関係の記述を含んだ上で SPDX の要件を正しく満たす SPDX ファイルの生成に成功した．本論文ではその手法と生成結果について示す．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: In recent years, the Software Bill of Materials (SBoM) has been increasingly adopted to manage risks in the supply chain, and the Software Package Data Exchange (SPDX) is one of the main SBoM specifications, created to ensure that users comply with licenses. On the other hand, it is important to understand the dependencies in order to comply with the license. Currently, however, there are no tools that automatically generate SPDX files including dependencies. Therefore, we developed a tool to automatically generate SPDX files including dependency descriptions for Debian packages. As a result, we succeeded in generating SPDX files that include dependency descriptions and satisfy the SPDX requirements. This paper describes the method and results of the generation.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN10112981
• 書誌情報: 研究報告ソフトウェア工学（SE）; 巻 2022-SE-211, 号 33, p. 1-6, 発行日 2022-07-21
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8825
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会