Norme di lancio

Autore del workload

I criteri di avvio sostituiscono le variabili dei metadati VM impostate dagli operatori dei carichi di lavoro per limitare le azioni dannose. L'autore di un workload può impostare criteri con un'etichetta durante la creazione dell'immagine container.

Ad esempio, in un Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

In un file BUILD Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Le policy di avvio disponibili sono riportate nella tabella seguente:

Policy	Tipo	Descrizione
tee.launch_policy.allow_capabilities Interazione con: Operatore del carico di lavoro: la variabile tee-added-capabilities dei metadati.	Booleano (il valore predefinito è false)	Determina se l'operatore del workload può aggiungere ulteriori funzionalità Linux al container del workload.
tee.launch_policy.allow_cgroups Interazione con: Operatore del carico di lavoro: la variabile tee-cgroup-ns dei metadati.	Booleano (il valore predefinito è false)	Determina se il container del workload può includere un montaggio di cgroup con spazio dei nomi in /sys/fs/cgroup.
tee.launch_policy.allow_cmd_override Interazione con: Operatore del carico di lavoro: la variabile tee-cmd dei metadati. Collaboratori dei dati: l'affermazione container.cmd_override.	Booleano (il valore predefinito è false)	Determina se il CMD specificato in Dockerfile del container del workload può essere ignorato da un operatore del workload con il valore dei metadati tee-cmd.
tee.launch_policy.allow_env_override Interazione con: Operatore del carico di lavoro: la variabile tee-env-ENVIRONMENT_VARIABLE_NAME dei metadati. Collaboratori dei dati: le container.env e container.env_override asserzioni.	Stringa separata da virgole	Una stringa separata da virgole di nomi di variabile di ambiente consentiti che possono essere impostati da un operatore del workload con valori dei metadati tee-env-ENVIRONMENT_VARIABLE_NAME.
tee.launch_policy.allow_mount_destinations Interazione con: Operatore del carico di lavoro: la variabile tee-mount dei metadati.	Stringa separata da due punti	Una stringa separata da due punti di directory di montaggio consentite che l'operatore del workload può montare utilizzando tee-mount. Ad esempio: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Interazione con: Operatore del carico di lavoro: la variabile tee-container-log-redirect dei metadati.	Stringa definita	Determina il funzionamento della registrazione se tee-container-log-redirect è impostato su true da un operatore del workload. I valori validi sono i seguenti: debugonly (impostazione predefinita): consente solo i reindirizzamenti stdout e stderr quando si utilizza un'immagine di debug. always: Consenti sempre i reindirizzamenti stdout e stderr. never: non consentire mai i reindirizzamenti stdout e stderr.
tee.launch_policy.monitoring_memory_allow Interazione con: Collaboratori dei dati: l' monitoring_enabled.memory asserzione. Operatore del carico di lavoro: la variabile tee-monitoring-memory-enable dei metadati.	Stringa definita	Determina il funzionamento del monitoraggio dell'utilizzo della memoria del workload se tee-monitoring-memory-enable è impostato su true da un operatore del workload. I valori validi sono i seguenti: debugonly (impostazione predefinita): consente il monitoraggio dell'utilizzo della memoria solo quando viene utilizzata un'immagine di debug. always: Consente sempre il monitoraggio dell'utilizzo della memoria. never: Non consentire mai il monitoraggio dell'utilizzo della memoria. Attenzione: se consenti il monitoraggio dell'utilizzo della memoria, l'operatore del workload può visualizzare le metriche sull'utilizzo della memoria del workload in Cloud Logging e Esplora metriche. Se il tuo workload non è scritto in modo che impedisca alla memoria utilizzata totale di divulgare informazioni sensibili, blocca questa funzionalità nei workload di produzione.