Container Analysis und Scannen auf Sicherheitslücken

Container Analysis bietet das Scannen auf Sicherheitslücken und den Metadatenspeicher für Container. Der Scandienst führt das Scannen auf Sicherheitslücken in Images in Artifact Registry und Container Registry durch. Anschließend speichert er die resultierenden Metadaten und stellt sie über eine API zur Verfügung. Mit dem Metadatenspeicher können Sie Informationen aus verschiedenen Quellen speichern, darunter das Scannen auf Sicherheitslücken, Google Cloud-Dienste und Drittanbieter.

Container Analysis als strategische Informations-API

Im Kontext Ihrer CI/CD-Pipeline kann Container Analysis eingebunden werden, um Metadaten zu Ihrem Bereitstellungsprozess zu speichern und Entscheidungen anhand dieser Metadaten zu treffen.

In verschiedenen Phasen des Releaseprozesses können Personen oder automatisierte Systeme Metadaten hinzufügen, die das Ergebnis einer Aktivität beschreiben. Beispielsweise können Sie Ihrem Image Metadaten hinzufügen, die angeben, dass es einen Integrations-Testsuite oder einen Scan auf Sicherheitslücken bestanden hat.

Container Analysis in CI/CD

Abbildung 1. Diagramm, das die Container-Analyse als CI/CD-Pipeline-Komponente zeigt, die mit Metadaten über Quell-, Build-, Speicher- und Bereitstellungsphasen sowie Laufzeitumgebungen hinweg interagiert.

Das Scannen auf Sicherheitslücken kann automatisch oder on demand erfolgen:

  • Wenn automatisches Scannen aktiviert ist, wird das Scannen automatisch ausgelöst, wenn Sie ein neues Image in die Artifact Registry oder Container Registry hochladen. Sicherheitslücken werden kontinuierlich aktualisiert, wenn neue Sicherheitslücken entdeckt werden.

  • Wenn On-Demand-Scanning aktiviert ist, müssen Sie einen Befehl ausführen, um ein lokales Image oder ein Image in Artifact Registry oder Container Registry zu scannen. Dank des On-Demand-Scannings können Sie Container flexibler scannen, wenn Sie Container scannen. Sie können beispielsweise ein lokal erstelltes Image scannen, um Sicherheitslücken zu beheben, bevor Sie es in einer Registry speichern.

    Scanergebnisse sind bis zu 48 Stunden nach Abschluss des Scans verfügbar. Informationen zu Sicherheitslücken werden nach dem Scan nicht mehr aktualisiert.

Durch das Einbinden von Container Analysis in Ihre CI-/CD-Pipeline können Sie auf der Grundlage dieser Metadaten Entscheidungen treffen. Sie können beispielsweise mithilfe der Binärautorisierung Deployment-Richtlinien erstellen, die nur Deployments für konforme Images aus vertrauenswürdigen Registries zulassen.

Wenn Sie derzeit Container Analysis mit Container Registry verwenden, werden für beide Produkte die gleichen Container Analysis APIs und Pub/Sub-Themen verwendet. Weitere Informationen finden Sie in der Dokumentation zur Umstellung von Container Registry.

Weitere Informationen zur Verwendung von Container Analysis und den Kosten für das optionale Scannen auf Sicherheitslücken finden Sie in der Dokumentation zur Container Analysis.