Startrichtlinien

Autor der Arbeitslast

Startrichtlinien überschreiben die Variablen für VM-Metadaten, die von Arbeitslastoperatoren festgelegt wurden, um schädliche Aktionen einzuschränken. Ein Arbeitslastautor kann beim Erstellen seines Container-Images Richtlinien mit einem Label festlegen.

Beispiel: Dockerfile

LABEL "tee.launch_policy.allow_cmd_override"="true"

In einer Bazel-BUILD-Datei:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Die verfügbaren Startrichtlinien finden Sie in der folgenden Tabelle:

Richtlinie	Typ	Beschreibung
tee.launch_policy.allow_capabilities Interagiert mit: Arbeitslastoperator: Die Metadatavariable tee-added-capabilities.	Boolesch (Standardwert ist false)	Gibt an, ob der Arbeitslastoperator dem Arbeitslastcontainer zusätzliche Linux-Funktionen hinzufügen kann.
tee.launch_policy.allow_cgroups Interagiert mit: Arbeitslastoperator: Die Metadatavariable tee-cgroup-ns.	Boolesch (Standardwert ist false)	Legt fest, ob der Arbeitslastcontainer eine cgroup-Einbindung mit Namespace unter /sys/fs/cgroup enthalten darf.
tee.launch_policy.allow_cmd_override Interagiert mit: Arbeitslastoperator: Die Metadatavariable tee-cmd. Mitbearbeiter: Die container.cmd_override-Assertion.	Boolesch (Standardwert ist false)	Bestimmt, ob das im Dockerfile des Arbeitslastcontainers angegebene CMD durch einen Arbeitslastoperator mit dem Metadatenwert tee-cmd überschrieben werden kann.
tee.launch_policy.allow_env_override Interagiert mit: Arbeitslastoperator: Die Metadatavariable tee-env-ENVIRONMENT_VARIABLE_NAME. Datenmitbearbeiter: Die Zusicherungen container.env und container.env_override.	Kommagetrennter String	Ein kommagetrennter String mit zulässigen Umgebungsvariablennamen, die von einem Arbeitslastoperator mit tee-env-ENVIRONMENT_VARIABLE_NAME-Metadatenwerten festgelegt werden dürfen.
tee.launch_policy.allow_mount_destinations Interagiert mit: Arbeitslastoperator: Die Metadatavariable tee-mount.	Durch Doppelpunkte getrennter String	Ein durch Doppelpunkte getrennter String mit zulässigen Bereitstellungsverzeichnissen, die der Arbeitslastoperator mit tee-mount bereitstellen darf. Beispiel: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Interagiert mit: Arbeitslastoperator: Die Metadatavariable tee-container-log-redirect.	Definierter String	Bestimmt, wie das Logging funktioniert, wenn tee-container-log-redirect von einem Arbeitslastoperator auf true gesetzt wird. Die gültigen Werte sind: debugonly (Standard): Nur stdout- und stderr-Weiterleitungen zulassen, wenn ein Debugging-Image verwendet wird. always: Lässt immer stdout- und stderr-Weiterleitungen zu. never: Lässt niemals stdout- und stderr-Weiterleitungen zu.
tee.launch_policy.monitoring_memory_allow Interagiert mit: Datenmitarbeiter: Die monitoring_enabled.memory Assertion. Arbeitslastoperator: Die Metadatavariable tee-monitoring-memory-enable.	Definierter String	Bestimmt, wie die Überwachung der Arbeitsspeichernutzung von Arbeitslasten funktioniert, wenn tee-monitoring-memory-enable von einem Arbeitslastoperator auf true gesetzt wird. Die gültigen Werte sind: debugonly (Standard): Die Überwachung der Speichernutzung ist nur bei Verwendung eines Debug-Images zulässig. always: Überwachung der Arbeitsspeichernutzung immer zulassen. never: Überwachung der Arbeitsspeichernutzung niemals zulassen. Achtung: Wenn Sie das Monitoring der Arbeitsspeichernutzung zulassen, kann der Arbeitslastoperator Messwerte zur Arbeitsspeichernutzung in Cloud Logging und im Metrics Explorer sehen. Wenn Ihr Arbeitslast nicht so geschrieben ist, dass verhindert wird, dass durch die Gesamtspeichernutzung vertrauliche Informationen preisgegeben werden, blockieren Sie diese Funktion für Produktionsarbeitslasten.