Image Package Extractor

Værktøjet analyserer OCI-billeder, der bruges i Google Kubernetes Engine (GKE), for at uddrage installerede pakker, identificere hvilke pakkehåndterere der anvendes og generere et reviderbart inventar af artefakter. Det accepterer en OCI-billedreference (f.eks. gcr.io/namespace/service:tag) eller en lokal tarball og giver maskinlæsbar data, der er egnet til sikkerhed, overholdelse og artefaktstyring-workflows. Målgruppen omfatter DevOps-ingeniører, platformteams og sikkerhedsanalysekspeditioner, der promoverer billeder i CI/CD-pipelines og har brug for synlighed i afhængigheder, licenser og risici før implementering.
Internt følger værktøjet OCI-billets struktur for at pakke op lag, derefter opdager det almindelige pakkehåndterere som dpkg, rpm, apk og pacman for at opregne installerede pakker. Det registrerer per-pakke metadata inklusive navn, version, manager og licens, når det findes, sammen med lagets oprindelse og artefaktstørrelse. Til integritet beregner det hashes for at verificere artefakter og kan afsende en SBOM-lignende JSON-struktur. Avancerede muligheder muliggør offline-udtræk fra lokale tarballs og sammenligning mod en baseline for at fremhæve nye eller ændrede pakker.
Fordelene inkluderer konsekvent inventar på tværs af miljøer, hurtigere risikovurderinger og lettere CI/CD-integration. Værktøjet giver værdi ved at omdanne råt billedindhold til struktureret data, som kan bruges af sikkerhedsværktøjer, licensstyring og deployerings-pipelines. Brugsscenarier dækker før-udrulingsrevisioner, basisbilledeopdateringer, licensafstemning og pipeline-drevet artefaktverifikation. Unikke differentiators inkluderer GKE-orienterede arbejdsflow, robust multi-ark understøttelse og deterministiske outputs, der fodrer SBOM-økosystemer og artefaktstyringsprocesser.