O Artifact Registry é o serviço recomendado para gerenciar imagens de contêiner. O Container Registry ainda é compatível, mas só recebe correções de segurança críticas. Saiba mais sobre a transição para o Artifact Registry.

Container Analysis e verificação de vulnerabilidade

O Container Analysis oferece verificação de vulnerabilidades e armazenamento de metadados para contêineres. O serviço de verificação executa verificações de vulnerabilidades em imagens no Artifact Registry e no Container Registry. Em seguida, ele armazena os metadados resultantes e os disponibiliza para consumo por meio de uma API. O armazenamento de metadados permite armazenar informações de diferentes fontes, incluindo verificação de vulnerabilidades, outros serviços do Cloud e fornecedores terceirizados.

Container Analysis como uma API de informações estratégicas

No contexto do pipeline de CI/CD, o Container Analysis pode ser integrado para armazenar metadados sobre o processo de implantação e tomar decisões com base neles.

Em várias fases do processo de lançamento, pessoas ou sistemas automatizados podem adicionar metadados que descrevem o resultado de uma atividade. Por exemplo, você pode adicionar metadados à sua imagem indicando que ela passou por um conjunto de testes de integração ou por uma verificação de vulnerabilidades.

Análise de contêiner em CI/CD

Figura 1. Diagrama que mostra o Container Analysis como um componente de pipeline de CI/CD que interage com metadados nos estágios de origem, compilação, armazenamento e implantação, bem como ambientes de execução.

A verificação de vulnerabilidades pode ocorrer automaticamente ou sob demanda:

  • Quando a verificação automática está ativada, a verificação é acionada automaticamente sempre que você envia uma nova imagem para o Artifact Registry ou o Container Registry. As informações de vulnerabilidade são atualizadas continuamente quando novas vulnerabilidades são descobertas.

  • Quando a Verificação sob demanda estiver ativada, execute um comando para verificar uma imagem local ou uma imagem no Artifact Registry ou no Container Registry. A verificação sob demanda oferece mais flexibilidade na verificação de contêineres. Por exemplo, é possível verificar uma imagem criada localmente e corrigir vulnerabilidades antes de armazená-la em um registro.

    Os resultados da verificação ficam disponíveis por até 48 horas após a conclusão da verificação, e as informações de vulnerabilidade não são atualizadas após a verificação.

Com o Container Analysis integrado ao pipeline de CI/CD, é possível tomar decisões com base nesses metadados. Por exemplo, use a autorização binária para criar políticas de implantação que permitam apenas implantações de imagens compatíveis de registros confiáveis.

Para saber como usar o Container Analysis, consulte a documentação do Container Analysis.