Artifact Analysis 是一系列服务，提供软件组合分析、元数据存储和检索。它的检测点内置于许多 Google Cloud 产品（例如 Artifact Registry 和 Google Kubernetes Engine (GKE)），以便快速启用。该服务可与 Google Cloud 的第一方产品搭配使用，还可让您存储来自第三方来源的信息。扫描服务利用常见的漏洞存储区来将文件与已知漏洞进行匹配。
此服务以前称为 Container Analysis。新名称不会更改现有的产品或 API，但反映了该产品在容器之外扩展的功能范围。
图 1. 展示 Artifact Analysis 跨源、构建、存储、部署和运行时环境创建元数据并与之交互的图表。
扫描和分析
自动扫描
- 每次您将新映像推送到 Artifact Registry 或 Container Registry（已弃用）时，扫描流程都会自动触发。发现新漏洞时，漏洞信息会持续更新。Artifact Registry 包含应用语言包扫描。首先，请启用自动扫描。
GKE 工作负载漏洞扫描 - 标准层级
- 工作负载漏洞扫描是 GKE 安全状况信息中心的一部分，用于检测容器映像操作系统漏洞。扫描是免费的，可以按集群启用。可在安全状况信息中心查看结果。
GKE 工作负载漏洞扫描 - Advanced Vulnerability Insights
- 除了基本的容器操作系统扫描之外，GKE 用户还可以升级到高级漏洞数据分析，以利用持续语言包漏洞检测。您必须在集群上手动启用此功能，之后您将收到操作系统和语言包漏洞结果。详细了解 GKE 工作负载中的漏洞扫描。
按需扫描
- 此服务不是连续的；您必须运行命令来手动启动扫描。扫描结果将在扫描完成后长达 48 小时内提供。扫描完成后，漏洞信息不会更新。您可以扫描本地存储的映像，而无需先将它们推送到 Artifact Registry、Container Registry 或 GKE 运行时。如需了解详情，请参阅按需扫描。
访问元数据
Artifact Analysis 是一个 Google Cloud 基础架构组件，可让您存储和检索 Google Cloud 资源的结构化元数据。在发布流程的各个阶段，相关人员或自动化系统都可以添加描述 activity 结果的元数据。例如，您可以向映像添加元数据，以表明该映像已通过集成测试套件或漏洞扫描。
将 Artifact Analysis 集成到 CI/CD 流水线中，您可以根据该元数据制定决策。例如，您可以使用 Binary Authorization 创建部署政策，仅允许部署来自可信注册表的合规映像。
Artifact Analysis 通过备注和发生实例将元数据与映像相关联。如需详细了解这些概念，请参阅元数据管理页面。
如果您将 Artifact Analysis 与 Container Registry 搭配使用，则这两种产品将使用相同的 Artifact Analysis API 和 Pub/Sub 主题。但是，最新的 Artifact Analysis 功能仅适用于 Artifact Registry。如需了解详情，请了解如何从 Container Registry 过渡。
如需了解如何使用 Artifact Analysis 进行元数据管理以及可选漏洞扫描服务的费用，请参阅 Artifact Analysis 文档。