오프라인 인스턴스용 Package Metadata Database

Package Metadata Database를 다운로드해 오프라인 GitLab Self-Managed 인스턴스에 복사하는 방법을 설명합니다.

지속적 취약점 스캔 과 CycloneDX 파일의 라이선스 스캔 을 사용하려면 Package Metadata Database 를 활성화해야 합니다. 이 과정에는 통틀어 Package Metadata Database라고 부르는 라이선스 및 권고 데이터가 사용되며, 이 데이터는 EE 라이선스 에 따라 사용이 허가됩니다. Package Metadata Database 사용과 관련해 다음 사항에 유의합니다. GitLab은 언제든지 사전 고지 없이 단독 재량으로 Package Metadata Database의 전부 또는 일부를 변경하거나 중단할 수 있습니다. Package Metadata Database에는 서드 파티 웹사이트나 리소스로 연결되는 링크가 포함될 수 있습니다. 이 링크는 편의를 위해서만 제공하며, GitLab은 해당 웹사이트나 리소스, 또는 그곳에 표시된 링크에서 제공하는 서드 파티 데이터·콘텐츠·제품·서비스에 책임을 지지 않습니다. Package Metadata Database는 일부 서드 파티가 공개한 정보를 기반으로 하며, GitLab은 제공되는 콘텐츠의 정확성이나 완전성에 책임을 지지 않습니다. Package Metadata Database는 라이선스, 권고, 악성코드 권고, CVE 보강의 네 가지 데이터 세트로 구성됩니다. 패키지 메타데이터는 v2와 v3 두 가지 형식 버전으로 게시되며, 각 데이터 세트는 둘 중 하나를 사용합니다. 두 형식 버전은 담고 있는 데이터가 다르고 다운로드 방식도 다르므로, 아래에서 각각 별도의 절차를 설명합니다. 각 데이터 세트와 GitLab 버전이 어느 형식 버전을 사용하는지는 Package Metadata Database 를 참고합니다. v2 데이터는 GitLab이 관리하고 소유하는 다음의 공개 Google Cloud Provider(GCP) 버킷에 저장됩니다. License Scanning: prod-export-license-bucket-1a6c642fc4de57d4 Dependency scanning: prod-export-advisory-bucket-1a6c642fc4de57d4 CVE enrichment: prod-export-cve-enrichment-bucket-1a6c642fc4de57d4 v3 데이터에는 공개 버킷이 없습니다. 인증이 필요한 GitLab 서비스를 통해 배포되므로 다운로드하려면 라이선스 키가 필요합니다. v3 Package Metadata Database 데이터 다운로드 를 참고합니다. CVE 보강 데이터에는 취약점에 표시되는 EPSS 점수와 KEV 상태 가 들어 있습니다. 라이선스 버킷과 권고 버킷만 동기화하는 인스턴스에는 의존성 스캔 데이터와 라이선스 데이터는 있지만 위험 평가 데이터는 없습니다. Note 모든 데이터 세트에 대해 GitLab은 vendor/package_metadata 아래의 디렉터리가 있으면 데이터를 직접 다운로드하지 않고 그 디렉터리를 우선해서 읽습니다. 디렉터리가 있으면 항상 그 디렉터리가 우선하며, 온라인 동기화로 대체되지 않습니다.