Políticas de inicio

Las políticas de inicio anulan las variables de metadatos de VM que establecen los operadores de cargas de trabajo para restringir las acciones maliciosas. Un autor de cargas de trabajo puede establecer políticas con una etiqueta como parte de la compilación de su imagen de contenedor.

Por ejemplo, en un Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

En un archivo BUILD de Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Las políticas de lanzamiento disponibles se encuentran en la siguiente tabla:

Política Tipo Descripción

tee.launch_policy.allow_capabilities

Interactúa con lo siguiente:

 Booleano (el valor predeterminado es false) Determina si el operador de la carga de trabajo puede agregar capacidades de Linux adicionales al contenedor de la carga de trabajo.

tee.launch_policy.allow_cgroups

Interactúa con lo siguiente:

  • Operador de carga de trabajo: Es la variable de metadatos tee-cgroup-ns.
 Booleano (el valor predeterminado es false) Determina si el contenedor de la carga de trabajo puede incluir un activador cgroup con espacio de nombres en /sys/fs/cgroup.

tee.launch_policy.allow_cmd_override

Interactúa con lo siguiente:

 Booleano (el valor predeterminado es false) Determina si el CMD especificado en el Dockerfile del contenedor de la carga de trabajo puede ser anulado por un operador de carga de trabajo con el valor de metadatos tee-cmd.

tee.launch_policy.allow_env_override

Interactúa con lo siguiente:

 Cadena separada por comas Es una cadena separada por comas de nombres de variable de entorno permitidos que un operador de carga de trabajo puede configurar con valores de metadatos tee-env-ENVIRONMENT_VARIABLE_NAME.

tee.launch_policy.allow_mount_destinations

Interactúa con lo siguiente:

  • Operador de carga de trabajo: Es la variable de metadatos tee-mount.
 Cadena separada por dos puntos

Es una cadena separada por dos puntos de directorios de activación permitidos en los que el operador de la carga de trabajo puede activar con tee-mount.

Por ejemplo: /run/tmp:/var/tmp:/tmp.

tee.launch_policy.log_redirect

Interactúa con lo siguiente:

 String definida

Determina cómo funciona el registro si un operador de carga de trabajo establece tee-container-log-redirect en true.

Los valores válidos son los siguientes:

  • debugonly (predeterminado): Solo permite redireccionamientos de stdout y stderr cuando se usa una imagen de depuración.
  • always: Siempre permite los redireccionamientos stdout y stderr.
  • never: Nunca permite los redireccionamientos stdout y stderr.

tee.launch_policy.monitoring_memory_allow

Interactúa con lo siguiente:

 String definida

Determina cómo funciona la supervisión del uso de memoria de la carga de trabajo si tee-monitoring-memory-enable se establece en true por un operador de carga de trabajo.

Los valores válidos son los siguientes:

  • debugonly (predeterminado): Solo permite la supervisión del uso de memoria cuando se usa una imagen de depuración.
  • always: Permite siempre la supervisión del uso de memoria.
  • never: Nunca permite la supervisión del uso de memoria.

tee.launch_policy.nonroot_container

Interactúa con lo siguiente:

 String definida

Determina si se deben restringir los privilegios de ejecución del contenedor.

Los valores válidos son los siguientes:

  • unrestricted (predeterminado): El autor de la carga de trabajo permite que el contenedor se ejecute como raíz o no raíz. El operador de carga de trabajo elige con tee-nonroot-container.
  • nonrootonly: El autor de la carga de trabajo requiere que el contenedor se ejecute como un usuario no raíz. El operador de carga de trabajo debe configurar tee-nonroot-container como true; de lo contrario, la VM no podrá iniciar la carga de trabajo.