Artifact Analysis 概览

Artifact Analysis 是一组服务，可提供软件组成分析、元数据存储和检索。其检测点内置于 Artifact Registry 和 Google Kubernetes Engine (GKE) 等 Google Cloud 产品中，以便快速启用。该服务可与 Google Cloud的第一方产品配合使用，还支持您存储来自第三方来源的信息。扫描服务会利用通用漏洞存储区将文件与已知漏洞进行匹配。

此服务以前称为“容器分析”。新名称不会更改现有产品或 API，但反映了该产品在容器之外不断扩展的功能范围。

CI/CD 中的工件分析

图 1. 显示工件分析如何在来源、构建、存储、部署和运行时环境中创建和与元数据交互的图表。

扫描和分析

自动扫描

  • 您每次将新映像推送到 Artifact Registry 或 Container Registry（已弃用）时，系统都会自动触发扫描流程。发现新漏洞时，漏洞信息会持续更新。Artifact Registry 包含应用语言软件包扫描功能。首先，启用自动扫描。

GKE 工作负载漏洞扫描 - 标准层级

  • 作为 GKE 安全状况信息中心的一部分，工作负载漏洞扫描功能可检测容器映像操作系统漏洞。扫描功能免费，每个集群都可以启用。您可以在安全状况信息中心查看结果。

GKE 工作负载漏洞扫描 - Advanced Vulnerability Insights

  • 除了基本容器操作系统扫描之外，GKE 用户还可以升级到 Advanced Vulnerability Insights，以便利用持续的语言包漏洞检测功能。您必须在集群上手动启用此功能，然后才能收到操作系统和语言包漏洞结果。详细了解 GKE 工作负载中的漏洞扫描。

按需扫描

  • 此服务并非持续性服务；您必须运行命令才能手动启动扫描。扫描结果最长可能需要 48 小时才能完成。扫描完成后，漏洞信息不会更新。您可以扫描本地存储的映像，而无需先将其推送到 Artifact Registry、Container Registry 或 GKE 运行时。如需了解详情，请参阅按需扫描。

访问元数据

  • Artifact Analysis 是一个 Google Cloud 基础架构组件，可让您存储和检索资源的结构化元数据。 Google Cloud在发布流程的各个阶段，可以由相关人员或自动化系统来添加描述活动结果的元数据。例如，您可以为映像添加元数据，以表明该映像已通过集成测试套件或漏洞扫描的测试。

  • 将 Artifact Analysis 集成到 CI/CD 流水线中之后，您可以根据该元数据做出决策。例如，您可以使用 Binary Authorization 创建部署政策，以仅允许部署来自受信任注册表的合规映像。

  • Artifact Analysis 通过备注和发生实例将元数据与映像相关联。如需详细了解这些概念，请参阅元数据管理页面。

如果您将 Artifact Analysis 与 Container Registry 搭配使用，则这两个产品使用相同的 Artifact Analysis API 和 Pub/Sub 主题。不过，最新的 Artifact Analysis 功能仅适用于 Artifact Registry。如需了解详情，请了解如何从 Container Registry 转换。

如需了解 Artifact Analysis 功能的费用，请参阅 Artifact Analysis 价格。

后续步骤