Norme di lancio

Autore del workload

I criteri di avvio sostituiscono le variabili dei metadati VM impostate dagli operatori dei workload per limitare le azioni dannose. L'autore di un workload può impostare criteri con un'etichetta durante la creazione dell'immagine container.

Ad esempio, in un Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

In un file BUILD di Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Le norme di avvio disponibili sono riportate nella tabella seguente:

Norme	Tipo	Descrizione
tee.launch_policy.allow_capabilities Interazione con: Operatore del carico di lavoro: la variabile di metadati tee-added-capabilities.	Booleano (il valore predefinito è false)	Determina se l'operatore del workload può aggiungere funzionalità Linux aggiuntive al container del workload.
tee.launch_policy.allow_cgroups Interazione con: Operatore del carico di lavoro: la variabile di metadati tee-cgroup-ns.	Booleano (il valore predefinito è false)	Determina se il container del workload può includere un montaggio cgroup con spazio dei nomi in /sys/fs/cgroup.
tee.launch_policy.allow_cmd_override Interazione con: Operatore del carico di lavoro: la variabile di metadati tee-cmd. Collaboratori dei dati: l'affermazione container.cmd_override.	Booleano (il valore predefinito è false)	Determina se il CMD specificato in Dockerfile del container del carico di lavoro può essere ignorato da un operatore del carico di lavoro con il valore dei metadati tee-cmd.
tee.launch_policy.allow_env_override Interazione con: Operatore del carico di lavoro: la variabile di metadati tee-env-ENVIRONMENT_VARIABLE_NAME. Collaboratori dei dati: le container.env e container.env_override asserzioni.	Stringa separata da virgole	Una stringa separata da virgole di nomi di variabile di ambiente consentiti che possono essere impostati da un operatore del workload con valori dei metadati tee-env-ENVIRONMENT_VARIABLE_NAME.
tee.launch_policy.allow_mount_destinations Interazione con: Operatore del carico di lavoro: la variabile di metadati tee-mount.	Stringa separata da due punti	Una stringa separata da due punti di directory di montaggio consentite a cui l'operatore del workload può eseguire il montaggio utilizzando tee-mount. Ad esempio: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Interazione con: Operatore del carico di lavoro: la variabile di metadati tee-container-log-redirect.	Stringa definita	Determina il funzionamento della registrazione se tee-container-log-redirect è impostato su true da un operatore del workload. I valori validi sono: debugonly (impostazione predefinita): consente solo i reindirizzamenti stdout e stderr quando si utilizza un'immagine di debug. always: Consenti sempre i reindirizzamenti stdout e stderr. never: non consentire mai i reindirizzamenti stdout e stderr.
tee.launch_policy.monitoring_memory_allow Interazione con: Collaboratori dei dati: l'affermazione monitoring_enabled.memory . Operatore del carico di lavoro: la variabile di metadati tee-memory-monitoring-enable.	Stringa definita	Determina il funzionamento del monitoraggio dell'utilizzo della memoria del workload se tee-memory-monitoring-enable è impostato su true da un operatore del workload. I valori validi sono: debugonly (impostazione predefinita): consente il monitoraggio dell'utilizzo della memoria solo quando viene utilizzata un'immagine di debug. always: Consente sempre il monitoraggio dell'utilizzo della memoria. never: Non consentire mai il monitoraggio dell'utilizzo della memoria. Attenzione: se consenti il monitoraggio dell'utilizzo della memoria, l'operatore del workload può visualizzare le metriche sull'utilizzo della memoria del workload in Cloud Logging e Metrics Explorer. Se il tuo workload non è scritto in modo da impedire che l'utilizzo totale della memoria divulghi informazioni sensibili, blocca questa funzionalità nei workload di produzione.