Artifact Analysis는 소프트웨어 구성 분석, 메타데이터 스토리지 및 검색을 제공하는 서비스 제품군입니다. 감지 지점은 빠르게 사용 설정할 수 있도록 Artifact Registry 및 Google Kubernetes Engine (GKE)과 같은 여러 Google Cloud 제품에 기본 제공됩니다. 이 서비스는 Google Cloud의 퍼스트 파티 제품과 연동되며 서드 파티 소스의 정보를 저장할 수도 있습니다. 스캔 서비스는 알려진 취약점과 파일을 일치시키기 위해 공통 취약점 저장소를 사용합니다.
이 서비스의 이전 명칭은 Container Analysis입니다. 새 이름은 기존 제품 또는 API를 변경하지 않지만 컨테이너를 넘어 제품의 기능 범위를 반영합니다.
그림 1. 소스, 빌드, 스토리지, 배포, 런타임 환경 전반에서 메타데이터를 생성하고 상호작용하는 Artifact Analysis를 보여주는 다이어그램
레지스트리 검사
이 섹션에서는 Artifact Registry 기반 Artifact Analysis 취약점 스캔 기능을 간략하게 설명하고, 보안 태세를 지원하기 위해 보완 기능을 사용 설정할 수 있는 관련 Google Cloud제품을 나열합니다.
Artifact Registry의 자동 스캔
스캔 프로세스는 새 이미지를 Artifact Registry에 푸시할 때마다 자동으로 트리거됩니다.
취약점 정보는 새로운 취약점이 발견될 때 지속적으로 업데이트됩니다. Artifact Registry에는 애플리케이션 언어 패키지 스캔이 포함되어 있습니다. 시작하려면 자동 스캔을 사용 설정하세요.
Security Command Center를 사용한 중앙 집중식 위험 관리
Security Command Center는 클라우드 보안을 중앙 집중화하여 취약점 검사, 위협 감지, 자세 모니터링, 데이터 관리를 제공합니다.
Security Command Center는 Artifact Registry 스캔의 취약점 발견 항목을 집계하므로 Security Command Center에서 다른 보안 위험과 함께 모든 프로젝트에서 실행 중인 워크로드 내의 컨테이너 이미지 취약점을 확인할 수 있습니다. 심층 분석 및 장기 저장을 위해 이러한 발견 항목을 BigQuery로 내보낼 수도 있습니다.
자세한 내용은 Artifact Registry 취약점 평가를 참고하세요.
GKE 워크로드 취약점 스캔 - 표준 등급
GKE 보안 상황 대시보드의 일부인 워크로드 취약점 스캔은 컨테이너 이미지 OS 취약점을 감지합니다. 스캔은 무료이며 클러스터별로 사용 설정될 수 있습니다. 보안 상황 대시보드에서 결과를 볼 수 있습니다.
GKE 워크로드 취약점 스캔 - Advanced Vulnerability Insights
기본 컨테이너 OS 스캔 외에도 GKE 사용자는 Advanced Vulnerability Insights로 업그레이드하여 지속적인 언어 패키지 취약점 감지를 활용할 수 있습니다. 클러스터에서 이 기능을 수동으로 사용 설정해야 OS 및 언어 패키지 취약점 결과를 받을 수 있습니다. GKE 워크로드의 취약점 스캔에 대해 자세히 알아보세요.
주문형 스캔
이 서비스는 지속적이지 않으므로 명령어를 실행하여 수동으로 검사를 시작해야 합니다. 스캔이 완료된 후 최대 48시간 동안 스캔 결과를 확인할 수 있습니다. 스캔이 완료된 후에는 취약점 정보가 업데이트되지 않습니다. Artifact Registry 또는 GKE 런타임에 먼저 푸시하지 않고도 로컬에 저장된 이미지를 검사할 수 있습니다. 자세한 내용은 주문형 스캔을 참고하세요.
메타데이터 액세스
Artifact Analysis는 Google Cloud 인프라 구성요소로, Google Cloud리소스의 구조화된 메타데이터를 저장하고 검색할 수 있습니다. 출시 프로세스의 다양한 단계에서 사람이나 자동화된 시스템이 활동 결과를 설명하는 메타데이터를 추가할 수 있습니다. 예를 들어 이미지가 통합 테스트 모음 또는 취약점 스캔을 통과했음을 나타내는 메타데이터를 이미지에 추가할 수 있습니다.
CI/CD 파이프라인에 통합된 Artifact Analysis를 사용하면 메타데이터를 기반으로 결정을 내릴 수 있습니다. 예를 들어 Binary Authorization을 사용하여 배포 정책을 만들면 신뢰할 수 있는 저장소의 호환 이미지에 대한 배포만 허용할 수 있습니다.
Artifact Analysis는 메모 및 어커런스를 통해 메타데이터를 이미지와 연결합니다. 이러한 개념에 대한 자세한 내용은 메타데이터 관리 페이지를 참조하세요.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-03(UTC)"],[[["\u003cp\u003eArtifact Analysis provides software composition analysis, metadata storage, and retrieval, integrating with Google Cloud products like Artifact Registry and GKE.\u003c/p\u003e\n"],["\u003cp\u003eThe service offers automatic scanning of images pushed to Artifact Registry or Container Registry, continuously updating vulnerability information, as well as on-demand scanning for locally stored images.\u003c/p\u003e\n"],["\u003cp\u003eGKE users can utilize free workload vulnerability scanning for container image OS vulnerabilities via the security posture dashboard, or upgrade to advanced vulnerability insights for language package vulnerability detection.\u003c/p\u003e\n"],["\u003cp\u003eArtifact Analysis allows users to store and retrieve structured metadata for Google Cloud resources, enabling the creation of deployment policies based on image compliance.\u003c/p\u003e\n"],["\u003cp\u003eContainer Registry is deprecated and scheduled for shutdown, with newer features only available for Artifact Registry, which also now hosts new \u003ccode\u003egcr.io\u003c/code\u003e repositories.\u003c/p\u003e\n"]]],[],null,["# Artifact Analysis overview\n\nArtifact Analysis is a family of services that provide software\ncomposition analysis, metadata storage and retrieval. Its detection points are\nbuilt into a number of Google Cloud products such as Artifact Registry and\nGoogle Kubernetes Engine (GKE) for quick enablement. The service works with\nboth Google Cloud's first-party products and also lets you store\ninformation from third-party sources. The scanning services use a common\nvulnerability store for matching files against known vulnerabilities.\n\nThis service was formerly known as Container Analysis. The new name does not\nchange existing products or APIs, but reflects the product's expanding range of\nfeatures beyond containers.\n\n**Figure 1.** Diagram that shows Artifact Analysis creating and interacting\nwith metadata across source, build, storage, deployment and runtime\nenvironments.\n\nRegistry scanning\n-----------------\n\nThis section outlines Artifact Analysis vulnerability scanning\nfeatures based in Artifact Registry, and lists related Google Cloud\nproducts where you can enable complementary capabilities to support your\nsecurity posture.\n\n### Automatic scanning in Artifact Registry\n\n- The scanning process is triggered automatically every time you push a new image to Artifact Registry. The vulnerability information is continuously updated when new vulnerabilities are discovered. Artifact Registry includes application language package scanning. To get started, enable [automatic scanning](/artifact-analysis/docs/os-overview).\n\n### Centralized risk management with Security Command Center\n\n|\n| **Preview**\n|\n|\n| This product or feature is subject to the \"Pre-GA Offerings Terms\" in the General Service Terms section\n| of the [Service Specific Terms](/terms/service-terms#1).\n|\n| Pre-GA products and features are available \"as is\" and might have limited support.\n|\n| For more information, see the\n| [launch stage descriptions](/products#product-launch-stages).\n\n- Security Command Center centralizes your cloud security, offering vulnerability scanning, threat detection, posture monitoring, and data management. Security Command Center aggregates vulnerability findings from Artifact Registry scans, allowing you to view container image vulnerabilities within your running workloads, across all projects alongside your other security risks in Security Command Center. You can also export these findings to BigQuery for in-depth analysis and long-term storage. For more information, see [Artifact Registry vulnerability assessment](/security-command-center/docs/concepts-security-sources#ar-vuln-assessment).\n\n### GKE workload vulnerability scanning - standard tier\n\n| **Caution:** Starting on July 23, 2024, standard tier/container OS vulnerability scanning is deprecated and is scheduled for shutdown on July 31, 2025. For more information about deprecation and shutdown dates, see [Vulnerability scanning removal from GKE](/kubernetes-engine/docs/deprecations/vulnerability-scanning-gkee).\n\n- As part of GKE security posture dashboard, workload vulnerability scanning provides detection of container image OS vulnerabilities. Scanning is free and can be enabled per cluster. Results are available to view in the [security posture dashboard](/kubernetes-engine/docs/concepts/about-security-posture-dashboard).\n\n### GKE workload vulnerability scanning - advanced vulnerability insights\n\n| **Caution:** Starting on June 16, 2025 Advanced Vulnerability Insights is deprecated and is scheduled for shutdown on June 16, 2026 as part of the deprecation of various GKE security posture dashboard features. For more information about deprecation and shutdown dates, see [Vulnerability\n| scanning removal from GKE](/kubernetes-engine/docs/deprecations/vulnerability-scanning-gkee).\n\n- In addition to basic container OS scanning, GKE users can upgrade to *advanced vulnerability insights* to take advantage of continual language package vulnerability detection. You must manually enable this feature on your clusters, after which you'll receive OS and language package vulnerability results. Learn more about [vulnerability scanning in GKE workloads](/kubernetes-engine/docs/how-to/security-posture-vulnerability-scanning).\n\nOn-Demand scanning\n------------------\n\n- This service is not continual; you must run a command to manually initiate the scan. Scan results are available up to 48 hours after the scan is completed. The vulnerability information is not updated after the scan is finished. You can scan images stored locally, without having to push them to Artifact Registry or GKE runtimes first. To learn more, see [on-demand scanning](/artifact-analysis/docs/os-scanning-on-demand).\n\nAccess metadata\n---------------\n\n- Artifact Analysis is a Google Cloud infrastructure\n component that lets you\n [store and retrieve structured metadata](/artifact-analysis/docs/metadata-management-overview) for Google Cloud\n resources. At various phases of your release process, people or automated\n systems can add metadata that describes the result of an activity. For\n example, you can add metadata to your image indicating that the image has\n passed an integration test suite or a vulnerability scan.\n\n- With Artifact Analysis integrated into your CI/CD pipeline, you\n can make decisions based on metadata. For example, you can use\n [Binary Authorization](/binary-authorization/docs) to create deployment policies\n that only allow deployments for compliant images from trusted registries.\n\n- Artifact Analysis associates metadata with images through **notes** and\n **occurrences** . To learn more about these concepts, see the\n [metadata management page](/artifact-analysis/docs/metadata-management-overview).\n\nTo learn about the costs for Artifact Analysis features, see\n[Artifact Analysis pricing](/artifact-analysis/pricing).\n\nWhat's next\n-----------\n\n- [Get started with automatic scanning](/artifact-analysis/docs/quickstart-scanning-os-automatically).\n- [Get started with On-Demand Scanning](/artifact-analysis/docs/quickstart-scanning-os-manually).\n- Learn more about [scanning concepts](/artifact-analysis/docs/container-scanning-overview).\n- Learn more about [supported metadata types](/artifact-analysis/docs/metadata-management-overview)."]]
