הצגת רישיונות ותלות

במסמך הזה מוסבר איך לצפות במטא-נתונים של תלות שזוהו על ידי Artifact Analysis באמצעות סריקה אוטומטית, ואיך לסנן אותם.

כשמפעילים את ה-API לסריקה כדי לזהות נקודות חולשה בקובצי אימג' של קונטיינרים, Artifact Analysis אוסף גם מידע על יחסי התלות והרישיונות שבהם נעשה שימוש בקובצי האימג'.

אתם יכולים להשתמש במטא-נתונים האלה כדי להבין את הרכיבים של תמונות המאגר ולפתור בעיות אבטחה.

ב-Artifact Analysis אפשר לזהות יחסי תלות ורישיונות לחבילות של מערכת הפעלה וחבילות שפה נתמכות בקובצי אימג' של קונטיינרים שמאוחסנים במאגר ב-Artifact Registry בפורמט Docker. מידע נוסף מופיע במאמר סקירה כללית על סריקת קונטיינרים.

בדומה למידע על נקודות חולשה, המטא-נתונים של הרישיונות והתלויות נוצרים בכל פעם שאתם מעבירים קובץ אימג' ל-Artifact Registry, ואז מאוחסנים ב-Artifact Analysis.

‫Artifact Analysis ממשיך לסרוק קובצי אימג' וחבילות כל עוד הם נשלפו ב-30 הימים האחרונים. אחרי 30 יום, המטא-נתונים של התמונות והחבילות שנסרקו לא יתעדכנו יותר, והתוצאות יהיו מיושנות.

‫Artifact Analysis מעביר לארכיון מטא-נתונים שלא השתנו במשך יותר מ-90 יום. אפשר להעריך את המטא-נתונים האלה רק באמצעות ה-API. כדי לסרוק מחדש תמונה עם מטא-נתונים לא עדכניים או מטא-נתונים שהועברו לארכיון, צריך לשלוף את התמונה. רענון המטא-נתונים יכול להימשך עד 24 שעות. אי אפשר לסרוק מחדש חבילות עם מטא-נתונים לא עדכניים או כאלה שהועברו לארכיון.

לפני שמתחילים

נכנסים לחשבון Google.

אם עדיין אין חשבון, יוצרים חשבון חדש.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Container Analysis, Artifact Registry APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Container Analysis, Artifact Registry APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

1. יש לכם מאגר Docker ב-Artifact Registry . במאמר יצירת SBOM מפורטות ההוראות.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות להצגת נתוני SBOM ולסינון התוצאות, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט:

• Container Analysis Occurrences Viewer (roles/containeranalysis.occurrences.viewer)
• Service Usage Consumer (roles/serviceusage.serviceUsageConsumer)
• קריאה ב-Artifact Registry (roles/artifactregistry.reader)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

צפייה ברישיונות ובפריטים בקשרי תלות במסוף Google Cloud

1. פותחים את הדף Repositories ב-Artifact Registry.

   פתיחת הדף Repositories

   בדף מופיעה רשימה של המאגרים שלכם.

2. ברשימת המאגרים, לוחצים על שם המאגר.

   הדף Repository details נפתח ומוצגת בו רשימה של התמונות שלכם.

3. ברשימת התמונות, לוחצים על שם התמונה.

   בדף הזה מופיעה רשימה של תקצירי התמונות.

4. ברשימת תקצירי התמונות, לוחצים על שם התקציר.

   בדף מוצגת שורה של כרטיסיות, כשהכרטיסייה סקירה כללית פתוחה ומוצגים בה פרטים כמו פורמט, מיקום, מאגר, גודל וירטואלי ותגים.

5. בשורה של הכרטיסיות, לוחצים על הכרטיסייה תלויות.

   הכרטיסייה 'תלות' נפתחת ומוצג בה המידע הבא:

   • הקטע של ה-SBOM
   • הקטע 'רישיונות'
   • רשימה של יחסי תלות שאפשר לסנן

‫SBOM

אם יוצרים או מעלים רשימת רכיבים של תוכנה (SBOM) באמצעות Artifact Analysis, הפרטים של ה-SBOM מוצגים בקטע הזה. רשימות SBOM לא נוצרות באופן אוטומטי כמו פרטי רישיון ותלות. איך מוסיפים SBOM

רישיונות

בקטע הסיכום Licenses מוצג תרשים עמודות שנקרא Most common licenses. הערך הזה מייצג את סוגי הרישיונות שמופיעים הכי הרבה בפרטי התלות. כשמחזיקים את הסמן מעל עמודה בתרשים, במסוף מוצג המספר המדויק של המקרים של סוג הרישיון הזה.

פניות קשורות

רשימת יחסי התלות מציגה את התוכן של סיכום התמונה, כולל:

• שם חבילה
• גרסת החבילה
• סוג האריזה
• סוג הרישיון

אפשר לסנן את רשימת התלויות לפי כל אחת מהקטגוריות האלה.

הצגת רישיונות ותלות ב-Cloud Build

אם אתם משתמשים ב-Cloud Build, תוכלו לראות את המטא-נתונים של התמונות בחלונית הצדדית תובנות אבטחה במסוף Google Cloud .

בחלונית הצדדית Security insights מוצגת סקירה כללית ברמה גבוהה של מידע על אבטחת גרסאות build של פריטי מידע שמאוחסנים ב-Artifact Registry. במאמר הצגת תובנות אבטחה של גרסאות build מוסבר בהרחבה על החלונית הצדדית ואיך אפשר להשתמש ב-Cloud Build כדי להגן על שרשרת האספקה של התוכנה.

מגבלות

מידע על רישיונות ותלות זמין רק בסריקה אוטומטית. התכונה הזו לא נתמכת בסריקה על פי דרישה.

המאמרים הבאים

• ליצור רשימת רכיבי תוכנה (SBOM) כדי לתמוך בדרישות התאימות.
• חקירת נקודות חולשה באמצעות מבני שאילתות נפוצים.
• יוצרים הצהרות VEX כדי לאשר את מצב האבטחה של התמונות.