Startrichtlinien

Autor der Arbeitslast

Startrichtlinien überschreiben die VM-Metadatavariablen , die von Arbeitslastoperatoren festgelegt wurden, um böswillige Aktionen einzuschränken. Ein Autor der Arbeitslast kann Richtlinien mit einem Label als Teil des Erstellens des Container-Images festlegen.

Beispiel in einer Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

In einer Bazel-BUILD-Datei:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Die verfügbaren Startrichtlinien finden Sie in der folgenden Tabelle:

Richtlinie	Typ	Beschreibung
tee.launch_policy.allow_capabilities Interagiert mit : Arbeitslastoperator: Die tee-added-capabilities Metadatavariable.	Boolesch (Standard ist false)	Bestimmt, ob der Arbeitslastoperator dem Arbeitslastcontainer zusätzliche Linux-Funktionen hinzufügen kann.
tee.launch_policy.allow_cgroups Interagiert mit : Arbeitslastoperator: Die tee-cgroup-ns Metadatavariable.	Boolesch (Standard ist false)	Bestimmt, ob der Arbeitslastcontainer eine Namespaced-Cgroup-Bereitstellung unter /sys/fs/cgroup enthalten darf.
tee.launch_policy.allow_cmd_override Interagiert mit : Arbeitslastoperator: Die tee-cmd Metadatavariable. Datenmitbearbeiter: Die container.cmd_override Assertion.	Boolesch (Standard ist false)	Bestimmt, ob der CMD in der Dockerfile des Arbeitslastcontainers angegebene von einem Arbeitslastoperator mit dem tee-cmd Metadatenwert überschrieben werden kann.
tee.launch_policy.allow_env_override Interagiert mit : Arbeitslastoperator: Die tee-env-ENVIRONMENT_VARIABLE_NAME Metadatavariable. Datenmitbearbeiter: Die Assertions container.env und container.env_override.	Durch Kommas getrennter String	Ein durch Kommas getrennter String mit zulässigen Namen von Umgebungsvariablen, die von einem Arbeitslastoperator mit tee-env-ENVIRONMENT_VARIABLE_NAME Metadatenwerten festgelegt werden dürfen.
tee.launch_policy.allow_mount_destinations Interagiert mit : Arbeitslastoperator: Die tee-mount Metadatavariable.	Durch Doppelpunkte getrennter String	Ein durch Doppelpunkte getrennter String mit zulässigen Bereitstellungsverzeichnissen, die der Arbeitslast operator mit tee-mountbereitstellen darf. Beispiel: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Interagiert mit : Arbeitslastoperator: Die tee-container-log-redirect Metadatavariable.	Definierter String	Bestimmt, wie das Logging funktioniert, wenn tee-container-log-redirect von einem Arbeitslastoperator auf true gesetzt wird. Die gültigen Werte sind: debugonly (Standard): Nur stdout und stderr Weiterleitungen zulassen, wenn ein Debug-Image verwendet wird. always: stdout und stderr Weiterleitungen immer zulassen. never: stdout und stderr Weiterleitungen nie zulassen.
tee.launch_policy.monitoring_memory_allow Interagiert mit : Datenmitbearbeiter: Die monitoring_enabled.memory Assertion. Arbeitslastoperator: Die tee-monitoring-memory-enable Metadatavariable.	Definierter String	Bestimmt, wie die Überwachung der Arbeitsspeichernutzung der Arbeitslast funktioniert, wenn tee-monitoring-memory-enable auf true von einem Arbeitslastoperator gesetzt wird. Die gültigen Werte sind: debugonly (Standard): Überwachung der Arbeitsspeichernutzung nur zulassen, wenn ein Debug-Image verwendet wird. always: Überwachung der Arbeitsspeichernutzung immer zulassen. never: Überwachung der Arbeitsspeichernutzung nie zulassen. Achtung: Wenn Sie die Überwachung der Arbeitsspeichernutzung zulassen, kann der Arbeitslastoperator Messwerte zur Arbeitsspeichernutzung der Arbeitslast in Cloud Logging und im Metrics Explorer sehen. Wenn Ihre Arbeitslast nicht so geschrieben ist, dass die Gesamtarbeitsspeichernutzung keine vertraulichen Informationen preisgibt, blockieren Sie diese Funktion für Produktionsarbeitslasten.