Règles de lancement

Les règles de lancement remplacent les variables de métadonnées de VM définies par les opérateurs de charge de travail pour limiter les actions malveillantes. Un auteur de charge de travail peut définir des règles avec une étiquette lors de la création de son image de conteneur.

Par exemple, dans un Dockerfile :

LABEL "tee.launch_policy.allow_cmd_override"="true"

Dans un fichier BUILD Bazel :

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Les règles de lancement disponibles sont listées dans le tableau suivant :

Règle Type Description

tee.launch_policy.allow_capabilities

Interagit avec :

 Valeur booléenne (false par défaut) Détermine si l'opérateur de charge de travail peut ajouter des fonctionnalités Linux supplémentaires au conteneur de charge de travail.

tee.launch_policy.allow_cgroups

Interagit avec :

 Valeur booléenne (false par défaut) Détermine si le conteneur de charge de travail est autorisé à inclure un point de montage cgroup avec espace de noms à l'adresse /sys/fs/cgroup.

tee.launch_policy.allow_cmd_override

Interagit avec :

 Valeur booléenne (false par défaut) Détermine si le CMD spécifié dans le Dockerfile du conteneur de charge de travail peut être remplacé par un opérateur de charge de travail avec la valeur de métadonnées tee-cmd.

tee.launch_policy.allow_env_override

Interagit avec :

 Chaîne séparée par des virgules Chaîne de noms de variable d'environnement autorisés, séparés par une virgule, qui peuvent être définis par un opérateur de charge de travail avec tee-env-ENVIRONMENT_VARIABLE_NAME des valeurs de métadonnées.

tee.launch_policy.allow_mount_destinations

Interagit avec :

  • Opérateur de charge de travail : la tee-mount variable de métadonnées.
 Chaîne séparée par des deux-points

Chaîne de répertoires de montage autorisés, séparés par des deux-points, que l'opérateur de charge de travail est autorisé à monter à l'aide de tee-mount.

Par exemple : /run/tmp:/var/tmp:/tmp

tee.launch_policy.log_redirect

Interagit avec :

 Chaîne définie

Détermine le fonctionnement de la journalisation si tee-container-log-redirect est défini sur true par un opérateur de charge de travail.

Les valeurs valides sont les suivantes :

  • debugonly (par défaut) : n'autorisez que les redirections stdout et stderr si vous utilisez une image de débogage.
  • always : autorisez toujours les redirections stdout et stderr.
  • never : n'autorisez jamais les redirections stdout et stderr.

tee.launch_policy.monitoring_memory_allow

Interagit avec :

 Chaîne définie

Détermine le fonctionnement de la surveillance de l'utilisation de la mémoire de la charge de travail si tee-monitoring-memory-enable est définie sur true par un opérateur de charge de travail.

Les valeurs valides sont les suivantes :

  • debugonly (par défaut) : n'autorisez la surveillance de l'utilisation de la mémoire que si vous utilisez une image de débogage.
  • always : autorisez toujours la surveillance de l'utilisation de la mémoire.
  • never : n'autorisez jamais la surveillance de l'utilisation de la mémoire.