Image Package Extractor

L'outil analyse les images OCI utilisées dans Google Kubernetes Engine (GKE) pour extraire les paquets installés, identifier les gestionnaires de paquets et générer un inventaire auditable des artefacts. Il accepte une référence d'image OCI (par ex. gcr.io/namespace/service:tag) ou une tarball locale et produit des données lisibles par machine pour la sécurité, la conformité et la gestion des artefacts. Les utilisateurs cibles incluent les ingénieurs DevOps, les équipes plateforme et les analystes sécurité favorisant les images dans les pipelines CI/CD qui nécessitent une visibilité sur les dépendances, les licences et les risques avant le déploiement.
L'outil suit la mise en page des images OCI pour décompresser les couches, puis détecte les gestionnaires de paquets courants tels que dpkg, rpm, apk et pacman pour énumérer les paquets installés. Il enregistre des métadonnées par paquet (nom, version, gestionnaire et licence lorsque détecté), ainsi que l'origine de la couche et la taille de l'artefact. Pour l'intégrité, il calcule des hachages afin de vérifier les artefacts et peut émettre une structure JSON de type SBOM. Des options avancées permettent une extraction hors ligne à partir de tarballs locaux et une comparaison avec une référence pour mettre en évidence les paquets nouveaux ou modifiés.
Les avantages incluent un inventaire cohérent entre les environnements, des évaluations de risques plus rapides et une intégration CI/CD plus aisée. L'outil convertit le contenu brut des images en données structurées que les outils de sécurité, la gouvernance des licences et les pipelines de déploiement peuvent consommer. Les cas d'utilisation couvrent les audits pré-déploiement, les mises à jour d'images de base, la réconciliation des licences et la vérification des artefacts pilotée par le pipeline. Les différenciateurs uniques incluent les flux de travail axés sur GKE, une prise en charge multi-architecture robuste et des sorties déterministes conçues pour alimenter les écosystèmes SBOM et les processus de gestion des artefacts.