软件物料清单 (SBOM) 充当库存清单，记录软件项目中使用的所有组件。它通过列出依赖项、其版本以及软件或容器镜像中存在的相关许可证来提供透明度。这种可见性帮助工程师和软件系统有效地跟踪和管理潜在的安全问题。

自 2.11 版本起，Harbor 现在支持自动生成 SBOM，并结合其默认扫描器 - Trivy。除此之外，用户还可以单击 GENERATE SBOM 按钮手动生成给定制品的 SBOM。

镜像推送期间自动生成 SBOM

要为推送到 Harbor 的镜像自动生成 SBOM，用户需要导航到镜像推送到的项目的 配置 选项卡。然后选中 SBOM 生成 的复选框，然后单击 保存 按钮。

配置更改后，新推送的制品 docker push ... 到此项目将自动触发 SBOM 生成过程，该过程使用在扫描器部分中分配的扫描器。

在项目制品页面中，用户可以看到 SBOM 详细信息链接，如上图所示。通过单击“SBOM 详细信息”（黄色矩形内），用户将被重定向到 SBOM 详细信息页面。

将显示一个包含软件包名称、当前版本和软件包许可证的表格，其中包括一个下载链接 DOWNLOAD SBOM，用于下载包含 SPDX 格式的完整 SBOM 详细信息的文件。

使用 Harbor 手动为容器镜像生成 SBOM

如果未启用或不需要自动 SBOM 生成，用户可以选择性地为容器镜像生成 SBOM。导航到制品页面，然后选择要为其生成 SBOM 的镜像。选择一个或多个镜像后，GENERATE SBOM 按钮将变为可用。也可以在 ACTIONS 下拉菜单中中止 SBOM 生成。

如何删除 SBOM

可以单独删除 SBOM 配件，如下所示，方法是单击要删除的 SBOM 配件旁边的三个垂直点图标，然后单击 删除 选项。

删除后，SBOM 配件将从制品中删除，因此在 UI 中不再可见。

SBOM 的最终和物理删除将在垃圾回收过程中执行。

SBOM 也可以与其主体制品一起删除，如下所示。

SBOM 复制

用户可以创建基于拉取或基于推送的复制规则，以将一组制品及其对应的 SBOM 从源 Harbor 注册表复制到目标 Harbor 注册表。