Políticas de inicio

Las políticas de inicio anulan las variables de metadatos de VM establecidas por los operadores de cargas de trabajo para restringir las acciones maliciosas. Un autor de la carga de trabajo puede establecer políticas con una etiqueta como parte de la compilación de su imagen de contenedor.

Por ejemplo, en un Dockerfile, haz lo siguiente:

LABEL "tee.launch_policy.allow_cmd_override"="true"

En un archivo BUILD de Bazel, haz lo siguiente:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Las políticas de inicio disponibles se encuentran en la siguiente tabla:

Política Tipo Descripción

tee.launch_policy.allow_capabilities

Interactúa con lo siguiente:

 Booleano (el valor predeterminado es false) Determina si el operador de la carga de trabajo puede agregar capacidades adicionales de Linux al contenedor de la carga de trabajo.

tee.launch_policy.allow_cgroups

Interactúa con lo siguiente:

  • Operador de la carga de trabajo: La tee-cgroup-ns variable de metadatos.
 Booleano (el valor predeterminado es false) Determina si el contenedor de la carga de trabajo puede incluir una activación de cgroup con espacio de nombres en /sys/fs/cgroup.

tee.launch_policy.allow_cmd_override

Interactúa con lo siguiente:

 Booleano (el valor predeterminado es false) Determina si el CMD especificado en el Dockerfile del contenedor de la carga de trabajo puede ser anulado por un operador de la carga de trabajo con el tee-cmd valor de metadatos.

tee.launch_policy.allow_env_override

Interactúa con lo siguiente:

 Cadena separada por comas Una cadena separada por comas de nombres de variable de entorno permitidos que un operador de la carga de trabajo puede establecer con tee-env-ENVIRONMENT_VARIABLE_NAME valores de metadatos.

tee.launch_policy.allow_mount_destinations

Interactúa con lo siguiente:

  • Operador de la carga de trabajo: La variable de metadatos tee-mount.
 Cadena separada por dos puntos

Una cadena separada por dos puntos de los directorios de activación permitidos que el operador de la carga de trabajo puede activar con tee-mount.

Por ejemplo: /run/tmp:/var/tmp:/tmp

tee.launch_policy.log_redirect

Interactúa con lo siguiente:

 Cadena definida

Determina cómo funciona el registro si tee-container-log-redirect un operador de la carga de trabajo establece true.

Los valores válidos son los siguientes:

  • debugonly (predeterminado): Solo permite stdout y stderr redireccionamientos cuando se usa una imagen de depuración.
  • always: Siempre permite stdout y stderr redireccionamientos.
  • never: Nunca permite stdout y stderr redireccionamientos.

tee.launch_policy.monitoring_memory_allow

Interactúa con lo siguiente:

 Cadena definida

Determina cómo funciona la supervisión del uso de memoria de la carga de trabajo si tee-monitoring-memory-enable un operador de la carga de trabajo establece true en.

Los valores válidos son los siguientes:

  • debugonly (predeterminado): Solo permite la supervisión del uso de memoria cuando se usa una imagen de depuración.
  • always: Siempre permite la supervisión del uso de memoria.
  • never: Nunca permite la supervisión del uso de memoria.