Norme di lancio

Autore del workload

Le norme di avvio sostituiscono le variabili dei metadati delle VM impostate dagli operatori dei workload per limitare le azioni dannose. Un autore di workload può impostare norme con un'etichetta durante la creazione dell'immagine container.

Ad esempio, in un Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

In un file BUILD di Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Le norme di avvio disponibili sono riportate nella tabella seguente:

Norme	Tipo	Descrizione
tee.launch_policy.allow_capabilities Interagisce con: Operatore del workload: la variabile dei metadati.tee-added-capabilities	Booleano (il valore predefinito è false)	Determina se l'operatore del workload può aggiungere funzionalità Linux aggiuntive al container del workload.
tee.launch_policy.allow_cgroups Interagisce con: Operatore del workload: la tee-cgroup-ns variabile dei metadati.	Booleano (il valore predefinito è false)	Determina se il container del workload può includere un montaggio di cgroup con spazio dei nomi in /sys/fs/cgroup.
tee.launch_policy.allow_cmd_override Interagisce con: Operatore del workload: la tee-cmd variabile dei metadati. Collaboratori dei dati: l' container.cmd_override asserzione.	Booleano (il valore predefinito è false)	Determina se il CMD specificato nel container del workload's Dockerfile può essere sostituito da un operatore del workload con il tee-cmd valore dei metadati.
tee.launch_policy.allow_env_override Interagisce con: Operatore del workload: la variabile dei metadati.tee-env-ENVIRONMENT_VARIABLE_NAME Collaboratori dei dati: le asserzioni container.env e container.env_override.	Stringa separata da virgole	Una stringa separata da virgole di nomi di variabile di ambiente consentiti che possono essere impostati da un operatore del workload con tee-env-ENVIRONMENT_VARIABLE_NAME valori dei metadati.
tee.launch_policy.allow_mount_destinations Interagisce con: Operatore del workload: la tee-mount variabile dei metadati.	Stringa separata da due punti	Una stringa separata da due punti di directory di montaggio consentite che l'operatore del workload è autorizzato a montare utilizzando tee-mount. Ad esempio: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Interagisce con: Operatore del workload: la variabile dei metadati.tee-container-log-redirect	Stringa definita	Determina il funzionamento della registrazione se tee-container-log-redirect è impostato su true da un operatore del workload. I valori validi sono i seguenti: debugonly (valore predefinito): consente solo i reindirizzamenti di stdout e stderr quando si utilizza un'immagine di debug. always: consente sempre i reindirizzamenti di stdout e stderr. never: non consente mai i reindirizzamenti di stdout e stderr.
tee.launch_policy.monitoring_memory_allow Interagisce con: Collaboratori dei dati: l'asserzione. monitoring_enabled.memory Operatore del workload: la variabile dei metadati.tee-monitoring-memory-enable	Stringa definita	Determina il funzionamento del monitoraggio dell'utilizzo della memoria del workload se tee-monitoring-memory-enable è impostato su true da un operatore del workload. I valori validi sono i seguenti: debugonly (valore predefinito): consente il monitoraggio dell'utilizzo della memoria quando si utilizza un'immagine di debug. always: consente sempre il monitoraggio dell'utilizzo della memoria. never: non consente mai il monitoraggio dell'utilizzo della memoria. Attenzione: se consenti il monitoraggio dell'utilizzo della memoria, l'operatore del workload può visualizzare le metriche di utilizzo della memoria del workload in Cloud Logging e Esplora metriche. Se il workload non è scritto in modo da impedire che la memoria utilizzata totale divulghi informazioni sensibili, blocca questa funzionalità sui workload di produzione.