syft は無料で使えますか？ライセンスは？

syft は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

syft は今もメンテナンスされていますか？

活発にメンテナンス中。syft の最終コミットは 2026年11月7日です。

syft は何に使えますか？

コンテナイメージを本番環境にリリースする前にSBOMを作成するプロジェクトディレクトリに含まれるオープンソースコンポーネントを監査する SBOMをGrypeに渡して、依存関係に既知の脆弱性がないか確認するライブラリを使ってGo製ツールにSBOM生成機能を組み込む

syft のインストール方法は？

README に記載されている公式インストールスクリプトを実行するコンテナイメージ内のパッケージをスキャンする: syft alpine:latest ローカルディレクトリをスキャンする: syft ./my-project

syft はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/anchore/syft

anchore/syft

Q: syft は今もメンテナンスされていますか？

活発にメンテナンス中。syft の最終コミットは 2026年11月7日 です。

Q: syft のインストール方法は？

README に記載されている公式インストールスクリプトを実行する コンテナイメージ内のパッケージをスキャンする: syft alpine:latest ローカルディレクトリをスキャンする: syft ./my-project

コンテナイメージやファイルシステムからSBOMを生成するCLIツール兼Goライブラリ。

GitHub で見る

スター: 9,850
フォーク: 1,042
未解決の Issue: 698
最終コミット: 20 時間前

これは何？

Syftはコンテナイメージ、ディレクトリ、アーカイブを検査し、含まれるソフトウェアパッケージを一覧化して、その情報をSBOMとして出力します。Alpine apk、Debian dpkg、RPMのほか、Go、Python、Java、JavaScript、Ruby、Rust、PHP、.NETの言語パッケージなど、幅広いパッケージエコシステムに対応しています。

出力形式はCycloneDX、SPDX、Syft独自のJSON形式に対応し、これらの形式間でSBOMを変換できます。また、in-toto仕様に準拠した署名付きSBOMアテステーションも作成できます。Anchoreの脆弱性スキャナーGrypeと組み合わせると、GrypeがSyftのSBOMを読み込み、既知の脆弱性を検出できます。

CLIだけでなく、SyftはGoライブラリとしても利用でき、ほかのツールにSBOM生成機能を組み込めます。また、明示的に指定すると、Linux上のローカルなcontainers-storageイメージも読み取れます。

主な機能

01コンテナイメージ、ファイルシステム、アーカイブのSBOMを生成
02apk、dpkg、RPM、Go、Python、Javaなど、幅広いエコシステムのパッケージを検出
03CycloneDX、SPDX、Syft JSON形式で出力
04SBOM形式間で変換
05署名付きin-toto SBOMアテステーションを作成
06Grypeと連携して脆弱性をスキャン

ユースケース

コンテナイメージを本番環境にリリースする前にSBOMを作成する
プロジェクトディレクトリに含まれるオープンソースコンポーネントを監査する
SBOMをGrypeに渡して、依存関係に既知の脆弱性がないか確認する
ライブラリを使ってGo製ツールにSBOM生成機能を組み込む

クイックスタート

1
README に記載されている公式インストールスクリプトを実行する
2
コンテナイメージ内のパッケージをスキャンする
syft alpine:latest
3
ローカルディレクトリをスキャンする
syft ./my-project

使う前に知っておきたいこと

ローカルの containers-storage イメージのスキャンは Linux でのみ利用できます。
脆弱性の検出には、Grype などの別途用意したスキャナーが必要です。

トピック

#sbom #containers #supply-chain-security #vulnerability-scanning #docker#cyclonedx#spdx#golang #go #hacktoberfest

よくある質問

syft とは？: コンテナイメージやファイルシステムからSBOMを生成するCLIツール兼Goライブラリ。 Syftはコンテナイメージ、ディレクトリ、アーカイブを検査し、含まれるソフトウェアパッケージを一覧化して、その情報をSBOMとして出力します。Alpine apk、Debian dpkg、RPMのほか、Go、Python、Java、JavaScript、Ruby、Rust、PHP、.NETの言語パッケージなど、幅広いパッケージエコシステムに対応しています。
syft は無料で使えますか？ライセンスは？: syft は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。
syft は今もメンテナンスされていますか？: 活発にメンテナンス中。syft の最終コミットは 2026年11月7日です。
syft は何に使えますか？: コンテナイメージを本番環境にリリースする前にSBOMを作成するプロジェクトディレクトリに含まれるオープンソースコンポーネントを監査する SBOMをGrypeに渡して、依存関係に既知の脆弱性がないか確認するライブラリを使ってGo製ツールにSBOM生成機能を組み込む
syft のインストール方法は？: README に記載されている公式インストールスクリプトを実行するコンテナイメージ内のパッケージをスキャンする: syft alpine:latest ローカルディレクトリをスキャンする: syft ./my-project
syft はどこで入手できますか？: ソースコードとインストール手順は GitHub にあります：https://github.com/anchore/syft

概要はプロジェクトの README をもとに AI が生成しています。GitHub の数値は毎日更新されます。