Image Package Extractor

A ferramenta analisa imagens OCI usadas no Google Kubernetes Engine (GKE) para extrair pacotes instalados, identificar os gerenciadores de pacotes em uso e gerar um inventário auditável de artefatos. Aceita uma referência de imagem OCI (ex.: gcr.io/namespace/service:tag) ou um tarball local e produz dados legíveis por máquina adequados para segurança, conformidade e gestão de artefatos. Usuários-alvo incluem engenheiros DevOps, equipes de plataforma e analistas de segurança que promovem imagens em pipelines CI/CD e precisam de visibilidade de dependências, licenças e riscos antes da implantação.
Internamente, a ferramenta segue o layout de imagens OCI para desempacotar camadas, detecta gerenciadores de pacotes comuns como dpkg, rpm, apk e pacman para enumerar pacotes instalados. Registra metadados por pacote incluindo nome, versão, gerenciador e licença quando detectado, junto com a origem da camada e o tamanho do artefato. Para integridade, calcula hashes para verificar artefatos e pode emitir uma estrutura JSON semelhante a SBOM. Opções avançadas permitem extração offline a partir de tarballs locais e comparação com uma linha de base para destacar pacotes novos ou alterados.
Benefícios incluem inventário consistente entre ambientes, avaliações de risco mais rápidas e integração CI/CD facilitada. O valor é entregue convertendo conteúdo bruto de imagem em dados estruturados que podem ser consumidos por ferramentas de segurança, governança de licenças e pipelines de implantação. Casos de uso incluem auditorias pré-implantação, atualizações de imagem base, reconciliação de licenças e verificação de artefatos orientada por pipeline. Diferenciadores únicos incluem fluxos de trabalho orientados a GKE, suporte multi-arquitetura robusto e saídas determinísticas pensadas para alimentar ecossistemas SBOM e processos de gestão de artefatos.