Image Package Extractor

Das Tool analysiert OCI-Images, die in Google Kubernetes Engine (GKE) verwendet werden, um installierte Pakete zu extrahieren, die verwendeten Paketmanager zu identifizieren und ein auditierbares Inventar von Artefakten zu erstellen. Es akzeptiert einen OCI-Image-Verweis (z. B. gcr.io/namespace/service:tag) oder eine lokale Tarball-Datei und gibt maschinenlesbare Daten aus, die für Sicherheits-, Compliance- und Artefakt-Management-Workflows geeignet sind. Zielnutzer sind DevOps-Ingenieure, Plattform-Teams und Sicherheitsanalysten, die Bilder in CI/CD-Pipelines befördern und Transparenz über Abhängigkeiten, Lizenzen und Risiken vor dem Bereitstellen benötigen.
Intern folgt das Tool der OCI-Image-Struktur, um Layer zu entpacken, dann erkennt es gängige Paketmanager wie dpkg, rpm, apk und pacman, um installierte Pakete aufzulisten. Es protokolliert pro-Paket-Metadaten einschließlich Name, Version, Manager und Lizenz, sofern erkannt, zusammen mit dem Ursprungslayer und der Artefaktgröße. Zur Integrität berechnet es Hashes zur Verifizierung von Artefakten und kann eine SBOM-ähnliche JSON-Struktur ausgeben. Erweiterte Optionen ermöglichen die Offline-Extraktion aus lokalen Tarballs und einen Abgleich mit einer Basis, um neue oder geänderte Pakete hervorzuheben.
Vorteile umfassen konsistente Inventare über Umgebungen hinweg, schnellere Risikobewertungen und eine einfachere CI/CD-Integration. Das Tool verwandelt rohen Image-Inhalt in strukturierte Daten, die von Sicherheitswerkzeugen, Lizenz-Governance und Bereitstellungs-Pipelines genutzt werden können. Anwendungsfälle umfassen Pre-Deployment-Audits, Basis-Image-Updates, Lizenzabstimmung und pipeline-gesteuerte Artefakt-Verifikation. Zu den einzigartigen Merkmalen gehören GKE-orientierte Arbeitsabläufe, robuste Multi-Arch-Unterstützung und deterministische Ausgaben für SBOM-Ökosysteme und Artefakt-Management-Prozesse.