Règles de lancement

Auteur de la charge de travail

Les règles de lancement remplacent les variables de métadonnées de VM définies par les opérateurs de charge de travail pour limiter les actions malveillantes. L'auteur d'une charge de travail peut définir des règles avec un libellé lors de la création de son image de conteneur.

Par exemple, dans un Dockerfile :

LABEL "tee.launch_policy.allow_cmd_override"="true"

Dans un fichier BUILD Bazel :

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Les règles de lancement disponibles sont listées dans le tableau suivant :

Règle	Type	Description
tee.launch_policy.allow_capabilities Interagit avec : Opérateur de charge de travail : variable de métadonnées tee-added-capabilities.	Valeur booléenne (false par défaut)	Détermine si l'opérateur de charge de travail peut ajouter des fonctionnalités Linux supplémentaires au conteneur de charge de travail.
tee.launch_policy.allow_cgroups Interagit avec : Opérateur de charge de travail : variable de métadonnées tee-cgroup-ns.	Valeur booléenne (false par défaut)	Détermine si le conteneur de charge de travail est autorisé à inclure un montage cgroup avec espace de noms sur /sys/fs/cgroup.
tee.launch_policy.allow_cmd_override Interagit avec : Opérateur de charge de travail : variable de métadonnées tee-cmd. Collaborateurs de données : assertion container.cmd_override.	Valeur booléenne (false par défaut)	Détermine si le CMD spécifié dans le Dockerfile du conteneur de charge de travail peut être remplacé par un opérateur de charge de travail avec la valeur de métadonnées tee-cmd.
tee.launch_policy.allow_env_override Interagit avec : Opérateur de charge de travail : variable de métadonnées tee-env-ENVIRONMENT_VARIABLE_NAME. Collaborateurs pour les données : assertions container.env et container.env_override.	Chaîne séparée par des virgules	Chaîne de noms de variable d'environnement autorisés séparés par une virgule, pouvant être définis par un opérateur de charge de travail avec des valeurs de métadonnées tee-env-ENVIRONMENT_VARIABLE_NAME.
tee.launch_policy.allow_mount_destinations Interagit avec : Opérateur de charge de travail : variable de métadonnées tee-mount.	Chaîne séparée par des deux-points	Chaîne de répertoires d'installation autorisés, séparés par un signe deux-points, que l'opérateur de charge de travail est autorisé à installer à l'aide de tee-mount. Par exemple : /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Interagit avec : Opérateur de charge de travail : variable de métadonnées tee-container-log-redirect.	Chaîne définie	Détermine le fonctionnement de la journalisation si tee-container-log-redirect est défini sur true par un opérateur de charge de travail. Les valeurs valides sont les suivantes : debugonly (par défaut) : n'autorisez que les redirections stdout et stderr si vous utilisez une image de débogage. always : autorisez toujours les redirections stdout et stderr. never : n'autorisez jamais les redirections stdout et stderr.
tee.launch_policy.monitoring_memory_allow Interagit avec : Collaborateurs de données : assertion monitoring_enabled.memory . Opérateur de charge de travail : variable de métadonnées tee-monitoring-memory-enable.	Chaîne définie	Détermine le fonctionnement de la surveillance de l'utilisation de la mémoire de la charge de travail si tee-monitoring-memory-enable est défini sur true par un opérateur de charge de travail. Les valeurs valides sont les suivantes : debugonly (par défaut) : n'autorisez la surveillance de l'utilisation de la mémoire que si vous utilisez une image de débogage. always : autorise toujours la surveillance de l'utilisation de la mémoire. never : n'autorisez jamais la surveillance de l'utilisation de la mémoire. Attention : Si vous autorisez la surveillance de l'utilisation de la mémoire, l'opérateur de charge de travail peut voir les métriques d'utilisation de la mémoire de la charge de travail dans Cloud Logging et l' explorateur de métriques. Si votre charge de travail n'est pas écrite de manière à empêcher l'utilisation totale de la mémoire de divulguer des informations sensibles, bloquez cette fonctionnalité sur les charges de travail de production.
tee.launch_policy.nonroot_container Interagit avec : Opérateur de charge de travail : variable de métadonnées tee-nonroot-container.	Chaîne définie	Détermine si les droits d'exécution du conteneur doivent être limités. Les valeurs valides sont les suivantes : unrestricted (par défaut) : l'auteur de la charge de travail autorise le conteneur à s'exécuter en tant qu'utilisateur racine ou non racine. L'opérateur de la charge de travail choisit d'utiliser tee-nonroot-container. nonrootonly : l'auteur de la charge de travail exige que le conteneur s'exécute en tant qu'utilisateur non racine. L'opérateur de charge de travail doit définir tee-nonroot-container sur true, sinon la VM ne parvient pas à lancer la charge de travail. Remarque : Compatible avec l'image Confidential Space confidential-space-261001 et les versions ultérieures. Si elle est utilisée sur des images antérieures, cette règle est ignorée et le conteneur s'exécute en tant qu'utilisateur racine.