라이선스 및 종속 항목 보기

이 문서에서는 아티팩트 분석이 자동 스캔으로 감지하는 종속 항목 메타데이터를 보고 필터링하는 방법을 설명합니다.

컨테이너 이미지의 취약점을 식별하기 위해 스캔 API를 사용 설정하면 Artifact Analysis에서 이미지에 사용된 종속 항목 및 라이선스에 관한 정보도 수집합니다.

이 메타데이터를 사용하여 컨테이너 이미지의 구성요소를 파악하고 보안 문제를 해결할 수 있습니다.

Artifact Analysis는 Docker 형식 Artifact Registry 저장소에 저장된 컨테이너 이미지 내의 OS 패키지 및 지원되는 언어 패키지에 대한 종속 항목 및 라이선스 감지를 제공합니다. 자세한 내용은 컨테이너 스캔 개요를 참고하세요.

취약점 정보와 마찬가지로 라이선스 및 종속 항목 메타데이터는 이미지를 Artifact Registry에 푸시할 때마다 생성된 후 Artifact Analysis에 저장됩니다.

Artifact Analysis는 지난 30일 동안 푸시 또는 가져온 이미지의 메타데이터만 업데이트합니다. 30일 후에는 메타데이터가 더 이상 업데이트되지 않으며 결과가 비활성화됩니다. 또한 Artifact Analysis는 90일 넘게 비활성 상태인 메타데이터를 보관처리하며, 이러한 메타데이터는 Google Cloud 콘솔, gcloud 또는 API를 사용하여 사용할 수 없습니다. 비활성 또는 보관처리된 메타데이터가 있는 이미지를 다시 스캔하려면 해당 이미지를 가져오세요. 메타데이터를 새로고침하는 데 최대 24시간이 걸릴 수 있습니다.

시작하기 전에

  1. Sign in to your Google Account.

    If you don't already have one, sign up for a new account.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Enable the Container Analysis, Artifact Registry APIs.

    Enable the APIs

  5. Install the Google Cloud CLI.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  8. Make sure that billing is enabled for your Google Cloud project.

  9. Enable the Container Analysis, Artifact Registry APIs.

    Enable the APIs

  10. Install the Google Cloud CLI.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init
  12. Artifact Registry에 Docker 저장소가 있습니다 . SBOM 생성 안내를 참고하세요.

필요한 역할

SBOM 데이터를 보고 결과를 필터링하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

Google Cloud 콘솔에서 라이선스 및 종속 항목 보기

  1. Artifact Registry 저장소 페이지를 엽니다.

    저장소 페이지 열기

    페이지에 저장소 목록이 표시됩니다.

  2. 저장소 목록에서 저장소 이름을 클릭합니다.

    저장소 세부정보 페이지가 열리고 이미지 목록이 표시됩니다.

  3. 이미지 목록에서 이미지 이름을 클릭합니다.

    페이지에 이미지 다이제스트 목록이 표시됩니다.

  4. 이미지 다이제스트 목록에서 다이제스트 이름을 클릭합니다.

    페이지에는 개요 탭이 열려 있는 탭 행이 표시되며 형식, 위치, 저장소, 가상 크기, 태그와 같은 세부정보가 표시됩니다.

  5. 탭 행에서 Dependencies 탭을 클릭합니다.

    종속 항목 탭이 열리고 다음 정보가 표시됩니다.

    • SBOM 섹션
    • 라이선스 섹션
    • 필터링 가능한 종속 항목 목록

SBOM

Artifact Analysis로 소프트웨어 재료명세서 (SBOM)를 생성하거나 업로드하면 SBOM 세부정보가 이 섹션에 표시됩니다. SBOM은 라이선스 및 종속 항목 정보처럼 자동으로 생성되지 않습니다. SBOM 개요에서 SBOM을 추가하는 방법을 알아보세요.

라이선스

라이선스 요약 섹션에는 가장 일반적인 라이선스라는 막대 그래프가 표시됩니다. 종속 항목 정보에 가장 자주 표시되는 라이선스 유형을 나타냅니다. 그래프의 막대 위에 포인터를 가져가면 콘솔에 해당 라이선스 유형의 인스턴스 수가 정확하게 표시됩니다.

종속 항목

종속 항목 목록에는 다음을 포함하여 이미지 다이제스트의 콘텐츠가 표시됩니다.

  • 패키지 이름
  • 패키지 버전
  • 패키지 유형
  • 라이선스 유형

이러한 카테고리를 기준으로 종속 항목 목록을 필터링할 수 있습니다.

Cloud Build에서 라이선스 및 종속 항목 보기

Cloud Build를 사용하는 경우 Google Cloud 콘솔의 보안 통계 측면 패널에서 이미지 메타데이터를 확인할 수 있습니다.

보안 통계 측면 패널에서는 Artifact Registry에 저장된 아티팩트의 빌드 보안 정보에 대한 대략적인 개요를 제공합니다. 측면 패널에 관한 자세한 내용과 Cloud Build를 사용하여 소프트웨어 공급망을 보호하는 방법은 빌드 보안 통계 보기를 참고하세요.

제한사항

라이선스 및 종속 항목에 관한 정보는 자동 검사를 통해서만 확인할 수 있습니다. 주문형 스캔에서는 이 기능이 지원되지 않습니다.

다음 단계