Image Package Extractor

De tool analyseert OCI-images die in Google Kubernetes Engine (GKE) worden gebruikt om geïnstalleerde pakketten te extraheren, de gebruikte pakketmanagers te identificeren en een auditable inventaris van artefacten te genereren. Het accepteert een OCI-image-referentie (bijv. gcr.io/namespace/service:tag) of een lokale tarball en geeft machineleesbare data terug die geschikt is voor beveiliging, compliance en artefactbeheer-workflows. Doelgebruikers zijn DevOps-engineers, platform-teams en security-analysts die afbeeldingen in CI/CD-pijplijnen promoten en inzicht in afhankelijkheden, licenties en risico's vóór implementatie nodig hebben.
Intern volgt de tool de OCI-image-indeling om lagen uit te pakken, detecteert gangbare pakketmanagers zoals dpkg, rpm, apk en pacman om geïnstalleerde pakketten te enumereren. Het registreert per-pakket metadata waaronder naam, versie, manager en licentie wanneer gedetecteerd, samen met de laag-herkomst en artefact-grootte. Voor integriteit berekent het hashes om artefacten te verifiëren en kan het een SBOM-achtige JSON-structuur uitgeven. Geavanceerde opties maken offline extractie vanaf lokale tarballs en vergelijking met een basis mogelijk om nieuwe of gewijzigde pakketten te markeren.
Voordelen zijn onder meer consistente inventarissen over omgevingen, snellere risico-beoordelingen en eenvoudigere CI/CD-integratie. Het biedt waarde door ruwe image-inhoud om te zetten in gestructureerde data die beveiligingsinstrumenten, licentie-governance en implementatie-pijplijnen kunnen gebruiken. Use-cases omvatten pre-deployment audits, basis-image-updates, licentie-afstemming en pijplijn-gedreven artefact-verificatie. Unieke differentiators zijn GKE-gerichte workflows, robuuste multi-arch-ondersteuning en deterministische output die SBOM-ecosystemen en artefactbeheer-processen voedt.