Startrichtlinien

Autor der Arbeitslast

Startrichtlinien überschreiben die VM-Metadatavariablen, die von Arbeitslastoperatoren festgelegt werden, um schädliche Aktionen einzuschränken. Ein Arbeitslastautor kann beim Erstellen seines Container-Images Richtlinien mit einem Label festlegen.

Beispiel: Dockerfile

LABEL "tee.launch_policy.allow_cmd_override"="true"

In einer Bazel-BUILD-Datei:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Die verfügbaren Startrichtlinien finden Sie in der folgenden Tabelle:

Richtlinie	Typ	Beschreibung
tee.launch_policy.allow_capabilities Interagiert mit: Arbeitslastoperator: Die Metadatenvariable tee-added-capabilities.	Boolesch (Standardwert ist false)	Gibt an, ob der Arbeitslastoperator dem Arbeitslastcontainer zusätzliche Linux-Funktionen hinzufügen kann.
tee.launch_policy.allow_cgroups Interagiert mit: Arbeitslastoperator: Die Metadatenvariable tee-cgroup-ns.	Boolesch (Standardwert ist false)	Legt fest, ob der Arbeitslastcontainer eine /sys/fs/cgroup-Einbindung mit Namespace-cgroup enthalten darf.
tee.launch_policy.allow_cmd_override Interagiert mit: Arbeitslastoperator: Die Metadatenvariable tee-cmd. Datenmitarbeiter: Die container.cmd_override Behauptung.	Boolesch (Standardwert ist false)	Bestimmt, ob das im Dockerfile des Arbeitslastcontainers angegebene CMD durch einen Arbeitslastoperator mit dem Metadatenwert tee-cmd überschrieben werden kann.
tee.launch_policy.allow_env_override Interagiert mit: Arbeitslastoperator: Die Metadatenvariable tee-env-ENVIRONMENT_VARIABLE_NAME. Datenmitbearbeiter: Die Zusicherungen container.env und container.env_override.	Kommagetrennter String	Eine kommagetrennte Liste der zulässigen Umgebungsvariablennamen, die von einem Arbeitslastoperator mit tee-env-ENVIRONMENT_VARIABLE_NAME-Metadatenwerten festgelegt werden dürfen.
tee.launch_policy.allow_mount_destinations Interagiert mit: Arbeitslastoperator: Die Metadatenvariable tee-mount.	Durch Doppelpunkte getrennter String	Ein durch Doppelpunkte getrennter String mit zulässigen Bereitstellungsverzeichnissen, die der Workload-Operator mit tee-mount bereitstellen darf. Beispiel: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Interagiert mit: Arbeitslastoperator: Die Metadatenvariable tee-container-log-redirect.	Definierter String	Bestimmt, wie das Logging funktioniert, wenn tee-container-log-redirect von einem Arbeitslastoperator auf true gesetzt wird. Die gültigen Werte sind: debugonly (Standard): Nur stdout- und stderr-Weiterleitungen zulassen, wenn ein Debug-Image verwendet wird. always: Lässt stdout- und stderr-Weiterleitungen immer zu. never: Lässt niemals stdout- und stderr-Weiterleitungen zu.
tee.launch_policy.monitoring_memory_allow Interagiert mit: Datenmitbearbeiter: Die monitoring_enabled.memory Behauptung. Arbeitslastoperator: Die Metadatenvariable tee-monitoring-memory-enable.	Definierter String	Bestimmt, wie die Überwachung der Arbeitsspeichernutzung von Arbeitslasten funktioniert, wenn tee-monitoring-memory-enable von einem Arbeitslastoperator auf true gesetzt wird. Die gültigen Werte sind: debugonly (Standard): Die Überwachung der Speichernutzung ist nur bei Verwendung eines Debug-Images zulässig. always: Überwachung der Speichernutzung immer zulassen. never: Überwachung der Speichernutzung niemals zulassen. Achtung: Wenn Sie die Überwachung der Arbeitsspeichernutzung zulassen, kann der Arbeitslastoperator Messwerte zur Arbeitsspeichernutzung der Arbeitslast in Cloud Logging und im Metrics Explorer sehen. Wenn Ihre Arbeitslast nicht so geschrieben ist, dass die gesamte Arbeitsspeichernutzung keine vertraulichen Informationen preisgibt, blockieren Sie diese Funktion für Produktionsarbeitslasten.