Image Package Extractor

Verktøyet analyserer OCI-bilder brukt i Google Kubernetes Engine (GKE) for å trekke ut installerte pakker, identifisere hvilke pakkehåndterere som brukes og generere et revidèrbart inventar av artefakter. Det godtar en OCI-bildehenvisning (f.eks. gcr.io/namespace/service:tag) eller en lokal tarball og produserer maskinlesbar data som passer for sikkerhet, samsvar og artefaktstyring. Målgruppen inkluderer DevOps-ingeniører, plattformteam og sikkerhetsanalytikere som fremmer bilder i CI/CD-pipelines og trenger synlighet i avhengigheter, lisenser og risiko før utrulling.
Internt følger verktøyet OCI-bildestrukturen for å pakke opp lag, deretter oppdages vanlige pakkehåndterere som dpkg, rpm, apk og pacman for å telle installerte pakker. Det registrerer per-pakke metadata som navn, versjon, manager og lisens når det finnes, sammen med lagets opprinnelse og artefaktstørrelse. For integritet beregner det hashs for å verifisere artefakter og kan avgi en SBOM-lignende JSON-struktur. Avanserte alternativer tillater offline-uttrekks fra lokale tarballs og sammenligning mot en baseline for å markere nye eller endrede pakker.
Fordelene inkluderer konsistent inventar på tvers av miljøer, raskere risikovurderinger og enklere CI/CD-integrasjon. Verktøyet omdanner råt bildinnhold til strukturert data som kan brukes av sikkerhetsverktøy, lisensstyring og deployerings-pipelines. Bruksområder dekker forhåndsinnholdsanmeldelser, basisbildoppdateringer, lisensavstemming og pipeline-styrt artefaktverifikasjon. Unike differensierer inkluderer GKE-orienterte arbeidsflyter, robust multi-ark-støtte og deterministiske utdata som mater SBOM-økosystemer og artefaktstyringsprosesser.