sbom-attestation
Générer, noter, comparer, signer et vérifier les nomenclatures logicielles (SBOM) et les attestations de build. Produit des SBOM CycloneDX et SPDX avec syft, les contrôle par rapport aux éléments minimaux de la NTIA, les analyse avec grype ou trivy, signe les images et les attestations avec Cosign (par clé ou sans clé avec Fulcio et Rekor), vérifie la provenance SLSA v1.0 et les attestations d'artefacts GitHub par empreinte, et rédige les politiques d'admission (Sigstore policy-controller, Kyverno verifyImages) et les déclarations VEX.
Quand l'utiliser
À utiliser quand l'utilisateur demande « génère un SBOM », « signe cette image avec cosign », « vérifie la provenance », « contrôle la qualité du SBOM », « compare deux SBOM », « mets en place la signature sans clé », « atteste le build », ou doit prouver l'intégrité de la chaîne d'approvisionnement pour un audit (NTIA, CISA, CRA européen, SLSA).
Entrées et outils
Le skill reçoit la demande de l'utilisateur en langage naturel : son frontmatter ne déclare aucun argument. Il ne déclare pas d'allowed-tools : les outils disponibles sont ceux de l'agent qui le charge, selon la politique d'outils du projet.
Référence
| Champ | Valeur |
|---|---|
| Nom | sbom-attestation |
| Catégorie | Sécurité |
| Version | Aucune valeur |
| Licence | Aucune valeur |
| Outils autorisés | Aucune valeur |
| Plugins | - |
| Source | catalog/navin/skills/sbom-attestation/SKILL.md |
| Digest | sha256:643713ad40b47e3de4f6607767b3bc2250b2f068de4fb963108b979110fb19a2 |
skill_md_digest | sha256:503f0e525502fa97fb2992433196c257dac6cc28a131bec211c4b2652fe5cd71 |
| Emoji | 📦 |
Fichiers fournis
| Chemin | Nombre |
|---|---|
catalog/navin/skills/sbom-attestation/examples | 2 |
catalog/navin/skills/sbom-attestation/references | 3 |
catalog/navin/skills/sbom-attestation/scripts | 2 |
Frontmatter
Chaque champ du frontmatter de SKILL.md, avec la valeur de la source :
| Champ | Valeur |
|---|---|
name | sbom-attestation |
description | Generate, score, diff, sign and verify software bills of materials and build attestations. Produces CycloneDX and SPDX SBOMs with syft, checks them against the NTIA minimum elements, scans them with grype or trivy, signs images and attestations with Cosign (key or keyless with Fulcio and Rekor), verifies SLSA v1.0 provenance and GitHub artifact attestations by digest, and drafts admission policies (Sigstore policy-controller, Kyverno verifyImages) and VEX statements. Use when the user asks to "generate an SBOM", "sign this image with cosign", "verify the provenance", "check SBOM quality", "compare two SBOMs", "set up keyless signing", or must prove supply-chain integrity for an audit (NTIA, CISA, EU CRA, SLSA). In French "generer un SBOM", "signer l'image avec cosign", "verifier la provenance", "attester le build". |
metadata.navin.emoji | 📦 |
metadata.navin.category | security |