SBOM을 사용한 의존성 스캔으로 마이그레이션

SBOM을 사용한 의존성 스캔으로 마이그레이션하는 방법에 대해 설명합니다.

히스토리 Gemnasium 분석기 기반의 의존성 스캔 기능은 GitLab 17.9에서 지원이 종료되었으며, GitLab 20.0에서 제거가 제안되었습니다. 다만 제거 일정은 확정되지 않았으므로 필요에 따라 Gemnasium을 계속 사용할 수 있습니다. 의존성 스캔 기능이 GitLab SBOM 취약점 스캐너로 업그레이드됩니다. 이 변경에 따라 SBOM을 사용하는 의존성 스캔 기능과 새로운 의존성 스캔 분석기 가 Gemnasium 분석기 기반의 레거시 의존성 스캔 기능을 대체합니다. 다만 이 전환에 따른 중요한 변경 사항으로 인해 기존 프로젝트는 자동으로 마이그레이션되지 않습니다. GitLab 의존성 스캔을 사용하고 있고 다음 조건 중 하나에 해당하면 이 마이그레이션 가이드를 따릅니다. 의존성 스캔 CI/CD job이 의존성 스캔 CI/CD 템플릿 중 하나를 포함하여 구성되어 있습니다. include: - template: Jobs/Dependency-Scanning.gitlab-ci.yml - template: Jobs/Dependency-Scanning.latest.gitlab-ci.yml 의존성 스캔 CI/CD job이 스캔 실행 정책 을 사용하여 구성되어 있습니다. 의존성 스캔 CI/CD job이 파이프라인 실행 정책 을 사용하여 구성되어 있습니다. 마이그레이션 준비 # 마이그레이션 작업량을 평가하고 경로를 파악하며 사전 요구 사항을 확인하고 영향을 받는 프로젝트를 확인합니다. 마이그레이션 작업량 추정 # 의존성 스캔 마이그레이션 평가 도구 는 프로젝트에서 의존성 스캔이 구성된 방식을 기반으로 맞춤 마이그레이션 체크리스트를 생성합니다. 이 도구는 활성화 경로, 언어 생태계, CI/CD 커스터마이징, (GitLab Self-Managed 인스턴스의 경우) 패키지 메타데이터 데이터베이스 동기화 상태를 확인합니다. 이 평가 도구는 다음을 생성합니다. 작업량 추정치(minimal, moderate, significant, complex 중 하나). 설정에 적용되는 마이그레이션 단계 체크리스트(이 가이드의 관련 절로 연결되는 직접 링크 포함). 추가 주의가 필요한 상황에 대한 플래그(스캔 실행 정책에서 파이프라인 실행 정책으로 전환해야 하는 프로젝트 등). 이 평가 도구는 브라우저에서만 실행되며 데이터를 어디로도 전송하지 않습니다. 마이그레이션 경로 파악 # 기존 구성은 자동으로 마이그레이션되지 않습니다. 새 기능을 사용하려면 구성을 업데이트해야 합니다. 다음 목록에서 자신에게 해당하는 마이그레이션 경로를 확인합니다. 안정 템플릿( Jobs/Dependency-Scanning.gitlab-ci.yml ): 일반 마이그레이션 단계 에 따라 v2 템플릿으로 전환한 다음, 프로젝트에서 사용하는 생태계에 대한 언어별 지침 을 적용합니다. 최신 템플릿( Jobs/Dependency-Scanning.latest.gitlab-ci.yml ): 안정 템플릿과 동일합니다. 일반 마이그레이션 단계 에 따라 v2 템플릿으로 전환한 다음 언어별 지침 을 적용합니다