この記事はOpenChain Advent Calenderの19日目の記事です

はじめに

車載向けOSSコミュニティのAGL(AutomotiveGradeLinux)で使用しているソフトウェアについて、OpenChainにて議論が進められているSW360とSPDX Liteを利用して、AGLで使用しているソフトウェアを誰でも簡単に確認出来る方法を紹介します
尚今回の内容については2020CESのAGLデモブース内のOpenChainブースでも紹介予定です
OpenChain and AGL Collaborate to Facilitate Open Source Compliance in Automotive Production

AGLのリリースソフトウェアについて

AGLでは年2回ソフトウェアをリリースしており、現状の最新ソフトはIcefish RC3 (v8.99.3)が年明けの正式リリースに向けて、リリースの準備が進められています。AGLリリースノートについて、このページを参照して下さい。
ビルド済みのソフトについても公開されており、Yoctoビルド時に出力されるlicense.manifestを確認すれば、AGLでどのようなソフトウェアが使用されているか、下記のように確認する事が出来ます

PACKAGE NAME: af-binder
PACKAGE VERSION: master+gitAUTOINC+82a9d79621
RECIPE NAME: af-binder
LICENSE: Apache-2.0

このように
・パッケージ名
・バージョン
・ライセンス
を確認する事が出来ますが、AGLでは1,500～1,600位のソフトウェアが使用されており、license.manifestを確認するのはそれなりに苦労するため、SW360/SPDX Liteを利用して誰でも簡単にAGLのリリースソフトウェアを確認出来るようにしたいと思います

今回の環境の全体イメージ

SW360にはSPDXをインポートして使用する想定のため、meta-spdxscannerを利用して、AGLリリースソフトからSPDXファイルを作成します。SW360ではSW360toolsを利用してSPDX Liteをアウトプット可能なため、EXCELを使用してAGLのソフトウェアを誰でも簡単に確認する事が可能です

環境のセットアップ

meta-spdxscanner

AGLでは下記のようにmeta-spdxscannerがサポートされていますので、
<!-- meta-spdxscanner - support for fossology -->
<project name="dl9pf/meta-spdxscanner" path="external/meta-spdxscanner" remote="github" revision="483f79e66eb76b0f1bebe1e3a0a0327b0ba59f16" upstream="thud"/>

spdxscannerが使用するfossdriverをセットアップします。セットアップ方法は10日目の記事を参考にして下さい
セットアップ完了後、https://github.com/dl9pf/meta-spdxscanner を参考に local.conf を編集しbitbakeを実行して、SPDXファイルを出力します
$ bitbake agl-demo-platform –-runall=spdx # will generate all agl-demo-platform spdx
$ bitbake package_name -c spdx # will generate spdx of a specified package


SW360

SW360のセットアップについては、この記事を参考にセットアップを実施します
今回はSW360からSPDX Lite(EXCEL)を出力したいので、SW360toolsを追加でセットアップします

SPDXファイルの取り込みから、SPDX Liteの出力

環境のセットアップが完了したら、生成したSPDXファイルをSW360にインポートします

インポートが完了するとSW360にインポートしたソフトウェアが表示されます

SW360toolsを使用すると出力するSPDXの項目を選択する事が可能となり、SPDX Liteなど必要な情報だけを最小限にしてcsv形式で出力する事が可能です

SW360が使用出来ない環境でも、Excelで出力したファイルをいつでも簡単に参照する事が可能となります

さいごに

駆け足での紹介になってしまいましたが、実際の開発現場に使用する際に課題と感じた事を下記します
・meta-spdxscannerを使用してSPDXを出力する時間が、bitbakeのビルド時間よりも長く、CIに組み込むには課題がある
・SPDXファイルをSW360にインポートする時に、ファイル数が100を超えると読み込み途中でフリーズが発生する時がある
・Dockerfileのメンテナンスが遅れており、環境構築にコストがかかる
他にも運用面での課題もあるかと思いますが、AGLなどのオープンな場所で少しずつFBしながら、実績を積みたいと思います

明日のテーマは・・・

明日は「OSSのコンプライアンス体制構築をするうえでの留意事項」について
Promotion SWGにも参加頂いているDLA Piperのパートナー弁護士である野中さんにご担当頂く予定です

はじめに

こんにちは。富士通の青木です。
富士通で唯一”オープンソースソフトウェア（OSS）”という名前が付く組織「OSS技術センター」に所属しています。
私のプロジェクトでは、社内でのOSS利活用推進全般を実施しています。
今日は、OpenChainプロジェクトの活動に至るまでの富士通のOSS専門組織や社内の関連部門とスクラムを組んで歩んできた取り組みについてご紹介します。

富士通のオープンソース専門組織「OSS技術センター」

富士通とOSSとの関わりは、1999年に富士通サーバーのLinuxサポートをスタートし、現在のOSS技術センターの前進組織として2000年1月設立の富士通Linuxセンターが発足しました。

OSS技術センターの発足

ミッションクリティカルな領域でOSSがどんどん使われるようになり、富士通社内でもOSSの重要性が認知されて、お客様の要件や用途に合わせた適材適所なオープン技術の選択によってお客様の新たな価値を創造していくことを目指して2005年11月に専門組織「OSS技術センター」が組織化されました。

OSSの選定や技術支援など富士通のフィールドと一体となった活動には多くの実績がありますが、ここ3年ほどはOSSのライセンスリスクや技術リスクなどをお客様自身が課題ととらえて、様々な相談が寄せられるようになってきています。

社内でのOSSコンプライアンス活動

社内では、ツールを利用したOSSの混入チェックや、ライセンスポリシーを自動判定、さらにBOM管理を実施して、脆弱性を通知するサービスを開発部門へ提供し、OSSのライフサイクルマネージメントを実現しています。

主に実施していること
・利用しているOSSの見える化。
・製品で利用しているOSSコンポーネントとライセンス情報や脆弱性情報との紐付け。
・会社として問題ないと判断したソフトウェア/バージョン/ライセンスのリスト化と判定。
・工程ごとの承認の仕組みとエビデンスを導入。（ワークフロー機能）

社内プロセスの整備

上記の仕組みを確立するまでは、長い時間をかけ、知財部門、品証部門、もちろん開発部門も巻き込んで、社内でライセンスを正しく守りつつOSSを利用するための枠組みを整理しました。
知財部門が中心となって、OSS利活用ガイドを作成しルールとプロセスを定め、全社規格や部門規格にOSSの規定を盛り込んでいます。

富士通では、適用領域が多岐にわたることもあり、複数の部門横断の体制を組み総合力を活かしてOSSの活用を推進しています。

OSSの利用拡大と全社教育

OSSがOSの模倣や商用製品の代替と呼ばれていた時代から変化し、AIなどをはじめとするデファクト技術がOSSから生まれるようになり、我々の業務もかなり変化をしていると感じます。
少し前までは開発に携わるキーマンがOSSのライセンスについて熟知していればよかったところ、今や調達部門や営業部門などもOSSに対する知識を身に着けていく必要があると感じています。
そこで従来は、開発部門に向けた集合教育やe-learningをメインに実施していましたが、2年前に全社員を対象にしたリテラシー教育を新規に作成し、e-learningでいつでもだれでも受講できるようにしています。
どちらかというと、OSSのライセンスの話や義務履行の話が多いため、今はOSSのコントリビューションの教育を整備しているところです。

OpenChainプロジェクトとの関わり

2017年12月のJapan WG発足時に、トヨタさん、日立さん、SONYさん達と富士通の知財部門や組込みLinuxの開発部門がOpenChainの日本の活動を盛り上げようと参加しています。
サブWGのFAQ, ライセンス情報, Planning, Promotionなどなどで10名ほどが活動しています。
富士通では、グループ会社を含む全社活動のOSS利活用WGにてその活動報告を共有し、仲間づくりを進めつつ、もっともっと参加していくべきということで、2019年2月にplatinumメンバーになりました。
今年度は、社内でも全社員に向けたメールマガジンで、OpenChainの紹介をしたり、Japan WGの本会合を社内で開いたりして、今まで興味をもっていなかった営業部門ほか関係部門の方々にも活動をアピールしています。

SPEC2.0 認証

2019年11月に富士通は自己認証を取得しました。もともと整備してきたOSSの全社規格や部門規格をあらためて見直し、OpenChain仕様にそって改善を加え、知財部門、OSS技術センター、開発部門（組み込みLinux開発部門・ソフトウェア事業部門）と大きな組織で教育展開を一斉に実施し、認証を取得しました。
これは、従来のプロセスやルールを振り返るとても有意義な取り組みで、教育の再実施により、デファクトスタンダードとなる仕様と自分たちの実践活動を紐づけができた、とてもいい機会となりました。今後も継続して仕様に準拠して取り組んでいきたいと思います。

OSPOとして

OSS技術センターが富士通のOpen Source Program Officeとして社内外から認知されて相談に乗れるように、今後も専門組織として取り組んでいきます。
また、富士通はグローバルカンパニーとして、富士通の北米、欧州、アジア部門とも連携してOpenChainの取り組みをはじめ、連携しながら活動していきます。

今後は、社内実践で培ったノウハウをお客様やパートナー様へ向け提供し、OpenChainプロジェクトやオープンソースへの貢献を実施していきたいと思います。

明日のテーマは・・・

明日は、浜さんのFossology の新しいOSSライセンススキャンについてです。Fossologyは私も使っていて今後SW360との連携もとても興味深いです。楽しみにしています！！

OpenChain @ OSS North America Virtual Event – Open Source in ISO: Building the First LF Standard in Fourteen Years and What It Means for You – July 1st

Open Source in ISO Building the First LF Standard in Fourteen Years and What It Means for You from Shane Coughlan

CP1 Associates is the latest OpenChain Conformant organization. This is a UK-based company with an extensive history in the use of open source.

“CP1 provides consultancy and CIO services to organizations across the UK,” says Chris Puttick, Founder of CP1 Associates. “As with most companies, we make extensive use of open source, and adoption of the OpenChain standard for open source compliance helps both to ensure we have the key requirements for such a program in place and harmonization with the larger global software community.”

“Companies like CP1 Associates are an extremely important part of the OpenChain ecosystem,” says Shane Coughlan, OpenChain General Manager. “One of the key tenants of our industry standard is that it is equally applicable and useful to small organizations and multinational conglomerates. As we finalize our ISO publication, functionally identical to the current OpenChain standard, we are seeking to underline this fact in the simplest, most practical way: adoption.”

“It’s great news that CP1 has become part of the OpenChain conformant family,” says Andrew Katz, Moorcrofts. “It shows that OpenChain is flexible enough that the specification can be adopted by smaller companies, and puts CP1 in pole position when it comes to pitching for work from the growing roster of international companies who are seeking OpenChain conformance as a key factor in appointing their suppliers.”

Learn More About CP1

• https://cp1associates.uk/

Proposed Agenda

1. News                                                                                         All
2. Github repo                                                                             Oliver
3. Fossology scanning in CI                                                      Gaurav Mishra

If you have any suggestions for the agenda please let Oliver at oliver.fendt@siemens.com know.

Join The Call

• Join using the Circuit Desktop App or mobile app:
  circuit://circuit.siemens.com/guest?token=119a2919-d083-418b-bde8-6f006898ff42
• Join using the Circuit web client or mobile app:
  https://circuit.siemens.com/guest?token=119a2919-d083-418b-bde8-6f006898ff42

To enjoy the best possible experience while working with Circuit on your desktop computer, try Circuit Desktop App, Chrome or Firefox.

To participate in a voice-only conference, dial one of the following numbers.

PIN 0233 5723 57 #

Join via voice-only. Your microphone will be muted. Press *3 to unmute it.

Frequently used dial-in numbers:

Canada (English): +19292704096
  tel:+19292704096,,0233572357#<tel:%2B19292704096%2C%2C0233572357%23>

China, Peoples Republic (中文): 4008198763
  tel:4008198763,,0233572357#<tel:4008198763%2C%2C0233572357%23>

Germany (Deutsch): +498923128020
  tel:+498923128020,,0233572357#<tel:%2B498923128020%2C%2C0233572357%23>

Spain (Español): +34912158038
  tel:+34912158038,,0233572357#<tel:%2B34912158038%2C%2C0233572357%23>

United Kingdom (English): +442076606076
  tel:+442076606076,,0233572357#<tel:%2B442076606076%2C%2C0233572357%23>

United States (English): +19292704096
  tel:+19292704096,,0233572357#<tel:%2B19292704096%2C%2C0233572357%23>

All dial-in numbers:

Argentina (Español): +541159842552
  tel:+541159842552,,0233572357#<tel:%2B541159842552%2C%2C0233572357%23>

Australia (English): +61282784325
  tel:+61282784325,,0233572357#<tel:%2B61282784325%2C%2C0233572357%23>

Austria (Deutsch): +4313602774621
  tel:+4313602774621,,0233572357#<tel:%2B4313602774621%2C%2C0233572357%23>

Belgium (English): +3226200317
  tel:+3226200317,,0233572357#<tel:%2B3226200317%2C%2C0233572357%23>

Brazil (English): +551138788268
  tel:+551138788268,,0233572357#<tel:%2B551138788268%2C%2C0233572357%23>

Bulgaria (English): +35929358238
  tel:+35929358238,,0233572357#<tel:%2B35929358238%2C%2C0233572357%23>

Canada (Français): +18887768707
  tel:+18887768707,,0233572357#<tel:%2B18887768707%2C%2C0233572357%23>

Canada (English): +18887768708
  tel:+18887768708,,0233572357#<tel:%2B18887768708%2C%2C0233572357%23>

Canada (English): +19292704096
  tel:+19292704096,,0233572357#<tel:%2B19292704096%2C%2C0233572357%23>

Canada (Français): +15148412132
  tel:+15148412132,,0233572357#<tel:%2B15148412132%2C%2C0233572357%23>

Chile (Español): +56226188362
  tel:+56226188362,,0233572357#<tel:%2B56226188362%2C%2C0233572357%23>

China, Peoples Republic (中文): 4008198763
  tel:4008198763,,0233572357#<tel:4008198763%2C%2C0233572357%23>

Colombia (Español): +5714864866
  tel:+5714864866,,0233572357#<tel:%2B5714864866%2C%2C0233572357%23>

Costa Rica (Español): +50625397362
  tel:+50625397362,,0233572357#<tel:%2B50625397362%2C%2C0233572357%23>

Croatia (English): +38517776197
  tel:+38517776197,,0233572357#<tel:%2B38517776197%2C%2C0233572357%23>

Czech Republic (English): +420225382900
  tel:+420225382900,,0233572357#<tel:%2B420225382900%2C%2C0233572357%23>

Denmark (English): +4535158116
  tel:+4535158116,,0233572357#<tel:%2B4535158116%2C%2C0233572357%23>

Dominican Republic (Español): +18299566315
  tel:+18299566315,,0233572357#<tel:%2B18299566315%2C%2C0233572357%23>

Ecuador (Español): +1800000742
  tel:+1800000742,,0233572357#<tel:%2B1800000742%2C%2C0233572357%23>

El Salvador (Español): +50321367565
  tel:+50321367565,,0233572357#<tel:%2B50321367565%2C%2C0233572357%23>

Estonia (English): +3726868885
  tel:+3726868885,,0233572357#<tel:%2B3726868885%2C%2C0233572357%23>

Finland (English): +358981710072
  tel:+358981710072,,0233572357#<tel:%2B358981710072%2C%2C0233572357%23>

France (Français): +33185148486
  tel:+33185148486,,0233572357#<tel:%2B33185148486%2C%2C0233572357%23>

Germany (Deutsch): +498923128020
  tel:+498923128020,,0233572357#<tel:%2B498923128020%2C%2C0233572357%23>

Greece (English): +302111809487
  tel:+302111809487,,0233572357#<tel:%2B302111809487%2C%2C0233572357%23>

Guatemala (Español): +50223661200
  tel:+50223661200,,0233572357#<tel:%2B50223661200%2C%2C0233572357%23>

Hungary (English): +3614292267
  tel:+3614292267,,0233572357#<tel:%2B3614292267%2C%2C0233572357%23>

Indonesia (English): +622150851722
  tel:+622150851722,,0233572357#<tel:%2B622150851722%2C%2C0233572357%23>

Ireland (English): +35315339866
  tel:+35315339866,,0233572357#<tel:%2B35315339866%2C%2C0233572357%23>

Israel (English): +97237207564
  tel:+97237207564,,0233572357#<tel:%2B97237207564%2C%2C0233572357%23>

Italy (Italiano): +390699748020
  tel:+390699748020,,0233572357#<tel:%2B390699748020%2C%2C0233572357%23>

Japan (English): +81366344738
  tel:+81366344738,,0233572357#<tel:%2B81366344738%2C%2C0233572357%23>

Kazakhstan (English): +77273122918
  tel:+77273122918,,0233572357#<tel:%2B77273122918%2C%2C0233572357%23>

Korea South (English): +82264108576
  tel:+82264108576,,0233572357#<tel:%2B82264108576%2C%2C0233572357%23>

Latvia (English): +37166163137
  tel:+37166163137,,0233572357#<tel:%2B37166163137%2C%2C0233572357%23>

Lithuania (English): +37052141723
  tel:+37052141723,,0233572357#<tel:%2B37052141723%2C%2C0233572357%23>

Luxembourg (Français): +35227300013
  tel:+35227300013,,0233572357#<tel:%2B35227300013%2C%2C0233572357%23>

Malaysia (English): +60320535108
  tel:+60320535108,,0233572357#<tel:%2B60320535108%2C%2C0233572357%23>

Mexico (Español): +525550912420
  tel:+525550912420,,0233572357#<tel:%2B525550912420%2C%2C0233572357%23>

Morocco (English): +212520480311
  tel:+212520480311,,0233572357#<tel:%2B212520480311%2C%2C0233572357%23>

Netherlands (English): +31207219093
  tel:+31207219093,,0233572357#<tel:%2B31207219093%2C%2C0233572357%23>

Norway (English): +4723500290
  tel:+4723500290,,0233572357#<tel:%2B4723500290%2C%2C0233572357%23>

Oman (English): +96880074490
  tel:+96880074490,,0233572357#<tel:%2B96880074490%2C%2C0233572357%23>

Oman (English): 80074490
  tel:80074490,,0233572357#<tel:80074490%2C%2C0233572357%23>

Pakistan (English): +92518108858
  tel:+92518108858,,0233572357#<tel:%2B92518108858%2C%2C0233572357%23>

Peru (Español): +5117087113
  tel:+5117087113,,0233572357#<tel:%2B5117087113%2C%2C0233572357%23>

Philippines (English): +63283953534
  tel:+63283953534,,0233572357#<tel:%2B63283953534%2C%2C0233572357%23>

Poland (English): +48225048376
  tel:+48225048376,,0233572357#<tel:%2B48225048376%2C%2C0233572357%23>

Portugal (English): +351210608117
  tel:+351210608117,,0233572357#<tel:%2B351210608117%2C%2C0233572357%23>

Romania (English): +40311305020
  tel:+40311305020,,0233572357#<tel:%2B40311305020%2C%2C0233572357%23>

Russian Federation (Русский): +73433511796
  tel:+73433511796,,0233572357#<tel:%2B73433511796%2C%2C0233572357%23>

Russian Federation (Русский): +74232492964
  tel:+74232492964,,0233572357#<tel:%2B74232492964%2C%2C0233572357%23>

Russian Federation (Русский): +74957459864
  tel:+74957459864,,0233572357#<tel:%2B74957459864%2C%2C0233572357%23>

Russian Federation (Русский): +78127186937
  tel:+78127186937,,0233572357#<tel:%2B78127186937%2C%2C0233572357%23>

Singapore (English): +6563131571
  tel:+6563131571,,0233572357#<tel:%2B6563131571%2C%2C0233572357%23>

Slovakia (English): +421250112159
  tel:+421250112159,,0233572357#<tel:%2B421250112159%2C%2C0233572357%23>

Slovenia (English): +38616002736
  tel:+38616002736,,0233572357#<tel:%2B38616002736%2C%2C0233572357%23>

South Africa (English): +27118446101
  tel:+27118446101,,0233572357#<tel:%2B27118446101%2C%2C0233572357%23>

Spain (Español): +34912158038
  tel:+34912158038,,0233572357#<tel:%2B34912158038%2C%2C0233572357%23>

Sweden (English): +46851992037
  tel:+46851992037,,0233572357#<tel:%2B46851992037%2C%2C0233572357%23>

Switzerland (English): +41225675325
  tel:+41225675325,,0233572357#<tel:%2B41225675325%2C%2C0233572357%23>

Thailand (English): +6621040793
  tel:+6621040793,,0233572357#<tel:%2B6621040793%2C%2C0233572357%23>

Turkey (English): +902123755830
  tel:+902123755830,,0233572357#<tel:%2B902123755830%2C%2C0233572357%23>

United Arab Emirates (English): 800035704335
  tel:800035704335,,0233572357#<tel:800035704335%2C%2C0233572357%23>

United Kingdom (English): +442076606076
  tel:+442076606076,,0233572357#<tel:%2B442076606076%2C%2C0233572357%23>

United States (English): +19292704096
  tel:+19292704096,,0233572357#<tel:%2B19292704096%2C%2C0233572357%23>

Uruguay (Español): +59829028657
  tel:+59829028657,,0233572357#<tel:%2B59829028657%2C%2C0233572357%23>

Venezuela (Español): +582123358895
  tel:+582123358895,,0233572357#<tel:%2B582123358895%2C%2C0233572357%23>

Vietnam (English): +842844581451
  tel:+842844581451,,0233572357#<tel:%2B842844581451%2C%2C0233572357%23>