Artifact Analysis는 컨테이너를 스캔하기 위한 두 가지 기능(주문형 스캔 및 자동 스캔)을 제공합니다. 이 문서에서는 각 기능의 이점을 소개합니다. Artifact Analysis는 메타데이터 관리도 제공합니다. 스캔과 메타데이터 스토리지를 함께 사용하여 CI/CD 파이프라인을 엔드 투 엔드로 보호하는 방법을 자세히 알아보려면 Artifact Analysis 개요를 참고하세요.
주문형 스캔과 자동 스캔을 사용하면 운영체제 및 언어 패키지 (Java, Go)의 취약점을 식별할 수 있습니다. 하지만 자동 언어 패키지 스캔은 Artifact Registry에만 사용할 수 있습니다.
온디맨드 스캔을 사용하면 gcloud CLI를 사용하여 컴퓨터 또는 레지스트리에서 컨테이너 이미지를 로컬로 스캔할 수 있습니다. 이를 통해 취약점 결과에 액세스해야 하는 시점에 따라 CI/CD 파이프라인을 유연하게 맞춤설정할 수 있습니다.
자동 스캔
Artifact Analysis는 Artifact Registry의 아티팩트에 대한 취약점 스캔을 실행합니다. Artifact Analysis는 취약점 정보를 모니터링하여 최신 상태로 유지합니다. 이 프로세스는 푸시 시 스캔과 지속적 분석이라는 두 가지 주요 작업으로 구성됩니다.
푸시 시 스캔
Artifact Analysis는 새로운 이미지가 Artifact Registry에 업로드될 때 이를 스캔합니다. 이 스캔은 컨테이너의 시스템 패키지에 대한 정보를 추출합니다. 이미지는 이미지 다이제스트를 기반으로 한 번만 스캔됩니다. 즉, 태그를 추가하거나 수정하면 새 스캔이 트리거되지 않으며 이미지의 콘텐츠만 변경됩니다.
Artifact Analysis는 보안 취약점에서 공개적으로 모니터링되는 패키지만 감지합니다.
이미지 스캔이 완료된 후 생성된 취약점 결과는 해당 이미지에 대한 취약점 어커런스의 모음입니다.
지속적 분석
Artifact Analysis는 이미지 업로드 시 발견된 취약점에 대한 어커런스를 만듭니다. 초기 스캔 후 Artifact Registry에서 스캔한 이미지의 메타데이터를 지속적으로 모니터링하여 새로운 취약점이 있는지 확인합니다.
Artifact Analysis는 취약점 소스에서 새로운 업데이트된 취약점 정보를 매일 여러 번 수신합니다. 새로운 취약점 데이터가 도착하면 Artifact Analysis는 스캔한 이미지의 메타데이터를 업데이트하여 최신 상태로 유지합니다. Artifact Analysis는 기존 취약점 어커런스를 업데이트하고, 새 메모에 대한 새 취약점 어커런스를 만들고, 더 이상 유효하지 않은 취약점 어커런스를 삭제합니다.
Artifact Analysis는 지난 30일 동안 푸시되거나 가져온 이미지의 메타데이터만 업데이트합니다. 30일이 지나면 메타데이터가 더 이상 업데이트되지 않으며 결과가 오래됩니다. 또한 Artifact Analysis는 90일 넘게 비활성 상태인 메타데이터를 보관처리하며, 이 메타데이터는 Google Cloud 콘솔, gcloud 또는 API를 사용하여 사용할 수 없습니다. 오래되었거나 보관처리된 메타데이터가 있는 이미지를 다시 스캔하려면 해당 이미지를 가져오세요.
메타데이터를 새로고침하는 데 최대 24시간이 걸릴 수 있습니다.
매니페스트 목록
매니페스트 목록으로 취약점 검사를 사용할 수도 있습니다. 매니페스트 목록은 여러 플랫폼의 매니페스트에 대한 포인터 목록입니다. 이를 통해 단일 이미지가 여러 아키텍처 또는 운영체제 변형과 함께 작동할 수 있습니다.
Artifact Analysis 취약점 스캔은 Linux amd64 이미지만 지원합니다. 매니페스트 목록이 두 개 이상의 Linux amd64 이미지를 가리키는 경우 첫 번째 이미지만 검사됩니다. Linux amd64 이미지를 가리키는 포인터가 없으면 검사 결과가 표시되지 않습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-03(UTC)"],[[["\u003cp\u003eArtifact Analysis offers on-demand and automatic scanning to identify vulnerabilities in operating systems and language packages within containers.\u003c/p\u003e\n"],["\u003cp\u003eAutomatic scanning includes both on-push scanning, which analyzes new images upon upload, and continuous analysis, which regularly updates metadata to reflect the latest vulnerability information.\u003c/p\u003e\n"],["\u003cp\u003eWhile automatic language package scanning is exclusively available for Artifact Registry, both scanning methods can be used for Container Registry as well.\u003c/p\u003e\n"],["\u003cp\u003eContainer Registry is deprecated and will be shut down on March 18, 2025, so users are encouraged to transition to Artifact Registry, which is now the default for new gcr.io repositories.\u003c/p\u003e\n"],["\u003cp\u003eArtifact Analysis supports vulnerability scanning for manifest lists, but it is limited to only the first Linux amd64 image in the list.\u003c/p\u003e\n"]]],[],null,["# Types of scanning\n\nArtifact Analysis provides two features for scanning your containers: on-demand scanning and automatic scanning. This document introduces the benefits of each. Artifact Analysis also provides metadata management. To learn more about how you can use scanning and metadata storage together to secure your CI/CD pipeline from end to end, see the [Artifact Analysis overview](/artifact-analysis/docs/artifact-analysis).\n\nOn-demand and automatic scanning can identify vulnerabilities in your [operating system](/artifact-analysis/docs/os-overview), and language packages ([Java](/artifact-analysis/docs/java-overview), and [Go](/artifact-analysis/docs/go-overview)). However, automatic language package scanning is only available for Artifact Registry.\n\nFor a list of supported scanning types for each registry product, view the [comparison chart](/artifact-registry/docs/transition/setup-repo#analysis).\n\nSee [pricing](/artifact-analysis/pricing) to\nlearn more about the costs associated with scanning container images.\n\nOn-demand scanning\n------------------\n\nOn-demand scanning lets you scan container images locally on your computer\nor in your registry, using the gcloud CLI. This gives you the\nflexibility to customize your CI/CD pipeline, depending on when you need to\naccess the vulnerability results.\n\nAutomatic scanning\n------------------\n\nArtifact Analysis performs vulnerability scans on your artifacts in\nArtifact Registry. Artifact Analysis also\nmonitors the vulnerability information to keep it up to date. This process\ncomprises two main tasks: on-push scanning and continuous analysis.\n\n### On-push scanning\n\nArtifact Analysis scans new images when they're uploaded to\nArtifact Registry. This scan extracts information\nabout the system packages in the container. The images are scanned only once,\nbased on the image's digest. This means that adding or modifying tags won't\ntrigger new scans, only changing the contents of the image will.\n\nArtifact Analysis only detects packages publicly monitored for\nsecurity vulnerabilities.\n\nWhen the scan of an image is completed, the produced **vulnerability result** is\nthe collection of vulnerability occurrences for that image.\n| **Important:** When you enable the Container Scanning API, billing begins immediately. Once you enable the API for a project, Artifact Analysis automatically scans each newly pushed image to Artifact Registry in that project.\n\n### Continuous analysis\n\nArtifact Analysis creates occurrences for vulnerabilities\nfound when you upload the image. After the initial scan, it continuously\nmonitors the metadata for scanned images in Artifact Registry for new vulnerabilities.\n\nArtifact Analysis receives new and updated vulnerability\ninformation from [vulnerability sources](#sources) multiple times each day. When\nnew vulnerability data arrives, Artifact Analysis updates the\nmetadata of the scanned images to keep it up-to-date. Artifact Analysis updates existing vulnerability occurrences,\ncreates new vulnerability occurrences for new notes, and deletes vulnerability\noccurrences that are no longer valid.\n\nArtifact Analysis only updates the metadata for images that were pushed\nor pulled in the last 30 days. After 30 days, the metadata will no longer be\nupdated, and the results will be stale. Furthermore, Artifact Analysis\narchives metadata that is stale for more than 90 days, and the metadata won't be\navailable in the Google Cloud console, gcloud, or by using the\nAPI. To re-scan an image with stale or archived metadata, pull that image.\nRefreshing metadata can take up to 24 hours.\n\n### Manifest lists\n\nYou can also use vulnerability scanning with manifest lists. A [manifest\nlist](https://docs.docker.com/registry/spec/manifest-v2-2/#manifest-list) is a list of pointers to manifests\nfor several platforms. They allow a single image to work with multiple\narchitectures or variations of an operating system.\n\nArtifact Analysis vulnerability scanning only supports Linux\namd64 images. If your manifest list points to more than one Linux amd64 image,\nonly the first one will be scanned; if there are no pointers to Linux amd64\nimages, you won't get any scanning results.\n\nWhat's next\n-----------\n\n- [Work with OS packages](/artifact-analysis/docs/os-overview).\n- [Work with Go packages](/artifact-analysis/docs/go-overview).\n- [Work with Java packages](/artifact-analysis/docs/java-overview)."]]
