在 Cloud Deploy 中查看安全性数据分析

本页面介绍如何查看有关您部署的容器映像的安全信息。您可以在 Google Cloud 控制台中 Cloud Deploy 的安全性数据分析侧边栏中查看此信息。

安全性数据分析侧边栏简要介绍了多个安全指标。您可以使用此面板来识别和缓解您部署的映像中的风险。

此面板会显示以下信息：

SLSA build 级别

根据软件工件的供应链级别 (SLSA) 规范确定软件构建流程的成熟度级别。
漏洞

列出在您的工件中发现的所有漏洞。
VEX 状态

build 工件的漏洞可利用性交流(VEX) 状态。
SBOM

build 工件的软件物料清单 (SBOM)。
构建详情

包含有关 build 的信息。

Google Cloud 控制台中的“安全性数据分析”面板

使用要求

安全性数据分析仅适用于满足以下要求的容器映像：

必须启用漏洞扫描。
在运行 Artifact Analysis 的项目中，必须授予所需的 Identity and Access Management 角色。
在版本创建过程中，映像的名称必须通过 SHA 限定。

如果在 Cloud Deploy 的工件标签页中显示映像时未提供 SHA256 哈希，您可能需要重新构建该映像。

启用漏洞扫描

安全性数据分析面板中显示的信息来自 Artifact Analysis，可能来自 Cloud Build。Artifact Analysis 是一项服务，可按需或自动扫描容器中的基础容器映像、Maven 和 Go 软件包，以及非容器化 Maven 软件包。

如需接收所有可用的安全性数据分析，您必须启用漏洞扫描：

如需启用漏洞扫描，请启用所需的 API。

Enable the APIs
构建容器映像，并将其存储在 Artifact Registry 中。Artifact Analysis 会自动扫描构建工件。

漏洞扫描可能需要几分钟时间，具体取决于容器映像的大小。

如需详细了解漏洞扫描，请参阅推送扫描。

扫描会产生费用。如需了解价格信息，请参阅“价格”页面。

授予查看数据分析的权限

如需在 Cloud Deploy 中查看安全性数据分析，您需要此处所述的 IAM 角色或具有同等权限的角色。如果 Artifact Registry 和 Artifact Analysis 在不同的项目中运行，您必须在运行 Artifact Analysis 的项目中添加 Artifact Analysis 事件查看者角色或等效权限。

Cloud Build Viewer (roles/cloudbuild.builds.viewer)

查看 build 的数据分析。
Artifact Analysis Viewer (roles/containeranalysis.occurrences.viewer)

查看漏洞和其他依赖项信息。