Armadilloフォーラム

お世話になっております。山崎です。

>すべてまとめたSBoMが生成されるほうが便利なのでこちらの方法をとりたいのですが、セキュアブートを使う場合(初回書き込みでは) Image.signedはSWUに含まれないので (参考: https://manual.atmark-techno.com/armadillo-iot-g4/armadillo-base-os-sec… ) 、rootfsのSBoMは別で生成する必要があると考えています。この理解はあっていますか?

あっています。
「5.7.5. セキュアブート対応 swu の作成」ではセキュアブートするための、ストレージ暗号化と暗号化セキュアブート設定を行う SWU イメージを作成しています。そのため、この SWU イメージには Image.signed やルートファイルシステム は含まれていないため、仰るように別で生成する必要があります。

>セキュアブートを有効にした場合のrootfs更新では、通常のrootfs更新と異なって Image.signed をソースとしますが (参考: https://manual.atmark-techno.com/armadillo-iot-g4/armadillo-base-os-sec… ) この場合でもswu生成時にrootfsのSBoMは生成できますか?

「5.10. セットアップ完了後のアップデートの運用について」の Linux カーネルの更新 (encrypted_rootfs_linux_update.desc) の場合ですね。
申し訳ございません。encrypted_rootfs_linux_update.desc では Image.signed の SBOM 作成に対応していません。
Image.signed と同等の内容の SBOM を作成したい場合は、もとの kernel イメージの内容を含めるように desc ファイルを修正する必要があります。
encrypted_rootfs_linux_update.desc に以下の★の行を追加することで、baseos ディレクトリに展開した内容を含めた SBOM を作成することができます。

# This example is intended for users with ENCRYPTED_ROOTFS.
# Ignore it if not using encryped rootfs.
 
# version must be updated everytime like normal updates
swdesc_option version=2
swdesc_option BUILD_SBOM=auto★
swdesc_option sbom_config_yaml=swu/config.yaml★
 
# Image.signed is an a linux image with initrd built using
# imx-boot/secureboot.sh linux
swdesc_boot_linux "Image.signed"
swdesc_sbom_source_file "baseos"★

各項目に関する詳細は以下をご確認下さると幸いです。
・6.26.4. SWU イメージと同時に SBOM を作成する
https://manual.atmark-techno.com/armadillo-iot-g4/armadillo-iotg-g4_pro…

上記の desc ファイルを使用すると update_linux.swu と自動時に update_linux.swu.spdx.json が生成されます。

以上、どうぞよろしくお願いいたします。