Melihat lisensi dan dependensi

Dokumen ini menjelaskan cara melihat dan memfilter metadata dependensi yang dideteksi Artifact Analysis dengan pemindaian otomatis.

Saat Anda mengaktifkan API pemindaian untuk mengidentifikasi kerentanan dalam image container, Artifact Analysis juga mengumpulkan informasi tentang dependensi dan lisensi yang digunakan dalam image Anda.

Anda dapat menggunakan metadata ini untuk memahami komponen image container dan memperbaiki masalah keamanan.

Artifact Analysis menyediakan deteksi dependensi dan lisensi untuk paket OS dan paket bahasa yang didukung dalam image container yang disimpan dalam repositori Artifact Registry berformat Docker. Untuk mengetahui informasi selengkapnya, lihat Ringkasan pemindaian container.

Seperti informasi kerentanan, metadata lisensi dan dependensi dibuat setiap kali Anda mengirim image ke Artifact Registry, lalu disimpan di Artifact Analysis.

Analisis Artefak terus memindai gambar dan paket selama gambar dan paket tersebut telah ditarik dalam 30 hari terakhir. Setelah 30 hari, metadata untuk gambar dan paket yang dipindai tidak akan diperbarui lagi, dan hasilnya akan menjadi tidak valid.

Artifact Analysis mengarsipkan metadata yang sudah tidak berlaku selama lebih dari 90 hari. Metadata yang diarsipkan ini hanya dapat dievaluasi menggunakan API. Anda dapat memindai ulang gambar dengan metadata yang tidak berlaku atau diarsipkan dengan menarik gambar tersebut. Memperbarui metadata dapat memerlukan waktu hingga 24 jam. Paket dengan metadata yang tidak berlaku atau diarsipkan tidak dapat dipindai ulang.

Sebelum memulai

Login ke Akun Google Anda.

Jika Anda belum memilikinya, Daftar untuk membuat akun baru.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Container Analysis, Artifact Registry APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Container Analysis, Artifact Registry APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

1. Memiliki repositori Docker di Artifact Registry . Lihat petunjuk tentang membuat SBOM.

Peran yang diperlukan

Untuk mendapatkan izin yang Anda perlukan untuk melihat data SBOM dan memfilter hasil, minta administrator Anda untuk memberi Anda peran IAM berikut di project:

• Container Analysis Occurrences Viewer (roles/containeranalysis.occurrences.viewer)
• Service Usage Consumer (roles/serviceusage.serviceUsageConsumer)
• Pembaca Artifact Registry (roles/artifactregistry.reader)

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Melihat lisensi dan dependensi di konsol Google Cloud

1. Buka halaman Repositori Artifact Registry.

   Buka halaman Repositori

   Halaman ini menampilkan daftar repositori Anda.

2. Dalam daftar repositori, klik nama repositori.

   Halaman Repository details akan terbuka dan menampilkan daftar gambar Anda.

3. Dalam daftar image, klik nama image.

   Halaman ini menampilkan daftar ringkasan image Anda.

4. Di daftar ringkasan gambar, klik nama ringkasan.

   Halaman ini menampilkan baris tab tempat tab Overview terbuka, yang menampilkan detail seperti format, lokasi, repositori, ukuran virtual, dan tag.

5. Di baris tab, klik tab Dependencies.

   Tab dependensi akan terbuka dan menampilkan informasi berikut:

   • Bagian SBOM
   • Bagian Lisensi
   • Daftar dependensi yang dapat difilter

SBOM

Jika Anda membuat atau mengupload software bill of materials (SBOM) dengan Artifact Analysis, detail SBOM Anda akan ditampilkan di bagian ini. SBOM tidak dibuat secara otomatis seperti informasi lisensi dan dependensi. Pelajari cara menambahkan SBOM di ringkasan SBOM.

Lisensi

Bagian ringkasan Licenses menampilkan grafik batang yang disebut Most common licenses. Hal ini menunjukkan jenis lisensi yang paling sering muncul dalam informasi dependensi Anda. Saat Anda menahan kursor di atas batang dalam grafik, konsol akan menampilkan jumlah pasti untuk instance jenis lisensi tersebut.

Dependensi

Daftar dependensi menampilkan isi ringkasan gambar Anda, termasuk:

• Nama paket
• Versi paket
• Jenis paket
• Jenis lisensi

Anda dapat memfilter daftar dependensi berdasarkan salah satu kategori ini.

Melihat lisensi dan dependensi di Cloud Build

Jika menggunakan Cloud Build, Anda dapat melihat metadata image di panel samping Insight keamanan dalam konsol Google Cloud .

Panel samping Security insights memberikan ringkasan umum tentang informasi keamanan build untuk artefak yang disimpan di Artifact Registry. Untuk mempelajari lebih lanjut panel samping dan cara menggunakan Cloud Build untuk membantu melindungi supply chain software Anda, lihat Melihat insight keamanan build.

Batasan

Informasi tentang lisensi dan dependensi hanya tersedia dengan pemindaian otomatis. Pemindaian sesuai permintaan tidak mendukung fitur ini.

Langkah berikutnya

• Buat software bill of materials (SBOM) untuk mendukung persyaratan kepatuhan.
• Selidiki kerentanan menggunakan pola kueri umum.
• Buat pernyataan VEX untuk membuktikan postur keamanan image Anda.