AlmaLinux 為各個發布版本提供軟體物料清單（SBOM）。
什麼是 SBOM？
SBOM 是 Software Bill of Materials（軟體物料清單）的縮寫，就像一份程式碼的「成分表」。 它能協助辨識軟體的組成，包括使用了哪些開放原始碼及第三方元件、授權資訊、元件版本，以及這些元件是否有已知漏洞。
如果說 SBOM 是「成分表」，程式碼就是食材，而建置系統就是「廚房」，負責將這些食材製作成您最後使用的軟體。
為什麼 SBOM 很重要？
開放原始碼軟體廣泛應用於各種應用程式，也因此陸續發現了一些備受關注的入侵事件與安全漏洞。 SBOM 能讓開放原始碼社群與使用者更清楚了解軟體內容，並在出現風險時，有效率地找出個別檔案、函式庫及相依套件等，讓大家更安心、更有信心使用開放原始碼軟體。
The Linux Foundation 也這麼認為……
Linux Foundation 與 Open Source Security Foundation（OpenSSF）也共同提出一項計畫，名為 Source Software Security Mobilization Plan ，呼籲業界共同開發包含 SBOM 在內的軟體元件架構，以便更快發現並因應未來類似 Log4j 的漏洞。
……連總統本人也這麼認為
總統在下列行政命令提出的解決方案中，也將 SBOM 列為重要的一環： Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
AlmaLinux 提供什麼
The AlmaLinux Build System 基於上述原因，已將 SBOM 納入建置流程，以便：
- 追溯完整建置過程，從 CentOS Git 原始碼庫取得原始碼，一直到將經過驗證與簽署的套件發布至公開套件庫
- 提升建置流程的安全性，例如確保僅使用可信任的來源進行建置，避免遭受攻擊後的影響等
- 減少可能造成資料毀損的途徑
我們如何做到？
AlmaLinux 使用 Codenotary 的開放原始碼軟體 immudb ，為管理員提供身分驗證、資料驗證，以及完整的 SBOM 資訊。
- AlmaLinux 建置系統將 SBOM 資料儲存在 immudb 中。immudb 是開放原始碼不可變資料庫的標準，全球多家頂尖企業及政府機關都在使用。
- immudb 具備防竄改保護。 所有證明資料都會由用戶端檢查完整性，並透過密碼學方式驗證。 無論是 AlmaLinux 還是其他任何人，都無法變更這些資料。
- immudb 也能防範中間人（MITM）攻擊。 每次通訊前，用戶端都會驗證並檢查加密金鑰。
開始使用
如需更多資訊，請參閱 Almalinux Wiki： https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
