Image Package Extractor

Verktyget analyserar OCI-bilder som används i Google Kubernetes Engine (GKE) för att extrahera installerade paket, identifiera vilka paketchefer som används och skapa ett spårbart inventarium av artefakter. Det accepterar en OCI-bildreferens (t.ex. gcr.io/namespace/service:tag) eller en lokal tarball och producerar maskinläsbar data som lämpar sig för säkerhet, efterlevnad och artefaktshantering. Målgruppen är DevOps-ingenjörer, plattformsteam och säkerhetsanalytiker som främjar bilder i CI/CD-pipelines och behöver insyn i beroenden, licenser och risker före distribution.
Internt följer verktyget OCI-bildens uppbyggnad för att packa upp lager, upptäcker sedan vanliga paketchefer som dpkg, rpm, apk och pacman för att enumerera installerade paket. Det registrerar per-paket metadata inklusive namn, version, chef och licens när det känns igen, tillsammans med lagrets ursprung och artefaktstorlek. För integritet beräknar det hashvärden för att verifiera artefakter och kan avgeven SBOM-liknande JSON-struktur. Avancerade alternativ tillåter offline-extraktion från lokala tarballs och jämförelse mot en baslinje för att lyfta fram nya eller ändrade paket.
Fördelar inkluderar konsekvent inventering över miljöer, snabbare riskbedömningar och enklare CI/CD-integration. Verktyget konverterar råt bildinnehåll till strukturerad data som kan konsumeras av säkerhetsverktyg, licensstyrning och distributionspipeliner. Användningsfall täcker förhands-implementation granskningar, basbild-uppdateringar, licensavstämning och pipeline-styrd artefaktverifiering. Unika differentiatorer inkluderar GKE-inriktade arbetsflöden, robust multi-ark-stöd och deterministiska utdata som matar SBOM-ekosystem och artefaktshanteringsprocesser.