SBOMファイルのインポート#
FutureVuls に SBOM の情報を登録して、資産管理・ライセンス管理や脆弱性管理に利用できます。 インポートできる SBOM の形式・バージョンは「対応環境」を、サーバ SBOM とアプリケーション SBOM のどちらで登録するかは「サーバ SBOM とアプリケーション SBOM」を参照してください。
本マニュアルでは以下の操作を解説しています。
SBOM 内のコンポーネント情報が FutureVuls に取り込まれる仕様については以下を参照してください。
- SBOMのインポート仕様（取り込み条件・トラブルシューティング）
- CycloneDX形式のインポート仕様
- SPDX形式のインポート仕様
インポートした SBOM と FutureVuls 上のソフトウェア・脆弱性の対応関係の確認方法は「登録元SBOMファイルの確認」を参照してください。
SBOMファイルの登録#
SBOM の登録方法として、以下の3つの形式で登録できます。
- 画面からファイル形式でのアップロード
- 画面からテキスト形式での貼り付け
- API でのアップロード
画面から登録する場合、サーバ SBOM と アプリケーション SBOM として登録する場合で登録画面が異なります。 両者の違いについては「サーバ SBOM とアプリケーション SBOM」 をご参照ください。
- サーバ SBOM の場合：
サーバ > サーバ追加の「SBOM インポート」から - アプリケーション SBOM の場合：
サーバ詳細 > SBOMの「SBOM 追加」から
ファイル形式でのアップロード#
2026年2月のリリースにて、SBOM をファイル形式で登録できるようになりました。 ファイルサイズが大きい場合でもブラウザの動作に影響なく利用できるため、こちらから登録することを推奨していきます。
ファイル形式でアップロードした場合、SBOM の登録に成功したかは グループ設定 > スキャン履歴 から確認できます。
スキャン種別は「SBOM スキャン」として表示されます。
ファイル形式でアップロードした場合、SBOM ファイル名の初期値はアップロードしたファイル名になります。 ファイル名が 50 文字を超える場合は、先頭の 50 文字が SBOM ファイル名になります。
登録に成功した場合は、別途サーバの手動スキャンを実行することで、すぐに脆弱性の検知ができます。
テキスト形式でのアップロード#
画面から SBOM のデータをテキスト形式でペーストして登録できます。 テキスト形式でアップロードした場合、登録に成功したかのダイアログが画面に表示されます。
API 経由でのアップロード#
CI に組み込む場合など、FutureVuls APIを利用して SBOM の登録ができます。 API 経由の場合、Base64 エンコードしてからのアップロードもできます。 詳しくは API ドキュメントもご参照ください。
OS 情報を無視して取り込む#
各取り込みダイアログの「OS 情報を無視して取り込む」を有効にすると、OS を特定できない SBOM を、OS パッケージを除いたコンポーネントだけ取り込めます。
FutureVuls API では、ignoreOS パラメータで指定します。
詳しくは「OS を特定できない SBOM の取り込み」を参照してください。
インポートしたSBOMファイルのダウンロード#
インポートした SBOM ファイルは、そのまま FutureVuls に保存され、いつでもダウンロードが可能です。
サーバ詳細 > SBOM の一覧から対象の SBOM を開き、SBOM 詳細のダウンロードボタンからダウンロードしてください。
SBOM ファイルの操作場所
2026年10月のリリースにて、SBOM ファイルのダウンロード・更新・名前の変更、およびアプリケーション SBOM の削除は、サーバ詳細の「SBOM」サブタブから開く SBOM 詳細で行うようになりました（従来は「詳細」サブタブの「登録された SBOM ファイル」から操作していました）。サーバ SBOM は削除できません（SBOMファイルの削除を参照）。
「2024-10-16リリース」より以前に登録された SBOM ファイルはダウンロードできません。
SBOMファイルの更新#
インポートした SBOM ファイルは、構成情報が変更された場合に更新できます。 更新したい SBOM の SBOM 詳細で更新ボタンをクリックし、更新後の SBOM ファイルをアップロードするか、内容をペーストして送信してください。
SBOM ファイルを更新しても、SBOM ファイル名は変わりません。 更新後のファイル名にしたい場合は、「SBOMファイル名の変更」の手順で変更してください。
更新後も、変更のないソフトウェアの検知結果・タグ・手動で割り当てた CPE はそのまま保持されます。
既存サーバ SBOM の初回更新時の注意
2026年10月のリリース前に FutureVuls API またはペーストインポートで登録・更新したサーバ SBOM は、リリース後の初回更新で OS パッケージが登録し直されます。 この初回更新では、OS パッケージに手動で割り当てた CPE とタグは引き継がれません。脆弱性は同じ更新で改めて検知されます。 2回目以降の更新では、変更のない OS パッケージの情報も保持されます。 詳しくは「初回更新時の注意」を参照してください。
SBOMファイル名の変更#
インポートした SBOM ファイルの名前を変更できます。 SBOM 詳細の名前変更ボタンから、変更後の SBOM ファイル名を登録してください。
SBOMファイルの削除#
インポートした SBOM ファイルは、SBOM 詳細の削除ボタンから削除できます。
サーバ SBOM の削除
サーバ SBOM として登録した SBOM は削除できません。 削除したい場合は、サーバごと削除してください。
