Die Artefaktanalyse bietet das Scannen auf Sicherheitslücken und den Metadatenspeicher für Container über die Artefaktanalyse. Der Scandienst führt Scans auf Sicherheitslücken in Images in Artifact Registry und Container Registry durch, speichert die resultierenden Metadaten und stellt sie über eine API zur Verfügung. Die Speicherung von Metadaten ermöglicht die Speicherung von Informationen aus verschiedenen Quellen, einschließlich das Scannen auf Sicherheitslücken, anderen Cloud-Diensten und Drittanbietern.
Artefaktanalyse als strategische Informations-API
Im Kontext Ihrer CI/CD-Pipeline kann die Artefaktanalyse eingebunden werden, um Metadaten zu Ihrem Bereitstellungsprozess zu speichern und anhand dieser Metadaten Entscheidungen zu treffen.
In verschiedenen Phasen des Releaseprozesses können Personen oder automatisierte Systeme Metadaten hinzufügen, die das Ergebnis einer Aktivität beschreiben. Beispielsweise können Sie Ihrem Image Metadaten hinzufügen, die angeben, dass es einen Integrations-Testsuite oder einen Scan auf Sicherheitslücken bestanden hat.
Abbildung 1. Diagramm, das die Container-Analyse als CI/CD-Pipeline-Komponente zeigt, die mit Metadaten über Quell-, Build-, Speicher- und Bereitstellungsphasen sowie Laufzeitumgebungen hinweg interagiert.
Das Scannen auf Sicherheitslücken kann automatisch oder on demand erfolgen:
Wenn automatisches Scannen aktiviert ist, wird jedes Mal automatisch gescannt, wenn Sie ein neues Image in Artifact Registry oder Container Registry hochladen. Die Informationen zu Sicherheitslücken werden kontinuierlich aktualisiert, wenn neue Sicherheitslücken entdeckt werden.
Wenn On-Demand-Scanning aktiviert ist, müssen Sie einen Befehl ausführen, um ein lokales Image oder ein Image in Artifact Registry oder Container Registry zu scannen. On-Demand-Scanning bietet mehr Flexibilität beim Scannen von Containern. Sie können beispielsweise ein lokal erstelltes Image scannen und Sicherheitslücken beheben, bevor Sie es in einer Registry speichern.
Scanergebnisse sind bis zu 48 Stunden nach Abschluss des Scans verfügbar und Informationen zu Sicherheitslücken werden nach dem Scan nicht aktualisiert.
Wenn die Artefaktanalyse in Ihre CI/CD-Pipeline eingebunden ist, können Sie auf Grundlage dieser Metadaten Entscheidungen treffen. Sie können beispielsweise mit der Binärautorisierung Deployment-Richtlinien erstellen, die nur Deployments für konforme Images aus vertrauenswürdige Registries zulassen.
Informationen zur Verwendung der Artefaktanalyse finden Sie in der Dokumentation zur Artefaktanalyse.