מדיניות ההשקה

יוצר עומס העבודה

מדיניות ההפעלה מבטלת את משתני המטא-נתונים של המכונה הווירטואלית שהוגדרו על ידי מפעילי עומסי העבודה כדי להגביל פעולות זדוניות. מחבר של עומס עבודה יכול להגדיר כללי מדיניות עם תווית כחלק מבניית קובץ האימג' של הקונטיינר.

לדוגמה, בDockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

בקובץ BUILD של Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

מדיניות ההשקה הזמינה מפורטת בטבלה הבאה:

מדיניות	סוג	תיאור
tee.launch_policy.allow_capabilities אינטראקציה עם: מפעיל של עומס עבודה: משתנה המטא-נתונים tee-added-capabilities.	ערך בוליאני (ברירת המחדל היא false)	ההגדרה קובעת אם מפעיל עומס העבודה יכול להוסיף יכולות Linux נוספות לקונטיינר של עומס העבודה.
tee.launch_policy.allow_cgroups אינטראקציה עם: מפעיל של עומס עבודה: משתנה המטא-נתונים tee-cgroup-ns.	ערך בוליאני (ברירת המחדל היא false)	ההגדרה קובעת אם קונטיינר של עומס עבודה יכול לכלול טעינה של cgroup עם מרחב שמות ב-/sys/fs/cgroup.
tee.launch_policy.allow_cmd_override אינטראקציה עם: מפעיל של עומס עבודה: משתנה המטא-נתונים tee-cmd. שותפי עריכה של נתונים: הטענה container.cmd_override.	ערך בוליאני (ברירת המחדל היא false)	ההגדרה קובעת אם מפעיל עומס העבודה יכול לשנות את הערך של CMD שצוין ב-Dockerfile של מאגר עומס העבודה, באמצעות ערך המטא-נתונים tee-cmd.
tee.launch_policy.allow_env_override אינטראקציה עם: מפעיל של עומס עבודה: משתנה המטא-נתונים tee-env-ENVIRONMENT_VARIABLE_NAME. שותפי הנתונים: טענות הנכוֹנוּת container.env ו- container.env_override.	מחרוזת מופרדת בפסיקים	מחרוזת מופרדת בפסיקים של שמות מותרים של משתני סביבה, שמפעיל עומס העבודה יכול להגדיר עם ערכי מטא-נתונים של tee-env-ENVIRONMENT_VARIABLE_NAME.
tee.launch_policy.allow_mount_destinations אינטראקציה עם: מפעיל של עומס עבודה: משתנה המטא-נתונים tee-mount.	מחרוזת מופרדת בנקודתיים	מחרוזת מופרדת בנקודתיים של ספריות טעינה מותרות, שמפעיל עומס העבודה יכול לטעון באמצעות tee-mount. לדוגמה: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect אינטראקציה עם: מפעיל של עומס עבודה: משתנה המטא-נתונים tee-container-log-redirect.	מחרוזת מוגדרת	המדיניות קובעת איך הרישום ביומן פועל אם tee-container-log-redirect מוגדרת לערך true על ידי מפעיל עומס העבודה. הערכים התקינים הם: ‫debugonly (ברירת המחדל): מותר לבצע הפניות אוטומטיות רק אל stdout ואל stderr כשמשתמשים בתמונת ניפוי באגים. ‫always: תמיד לאפשר הפניות אוטומטיות של stdout ו-stderr. ‫never: אף פעם לא לאפשר הפניות אוטומטיות של stdout ו-stderr.
tee.launch_policy.monitoring_memory_allow אינטראקציה עם: שותפי עריכה של נתונים: טענת הנכוֹנוּת (assertion) של monitoring_enabled.memory . מפעיל של עומס עבודה: משתנה המטא-נתונים tee-monitoring-memory-enable.	מחרוזת מוגדרת	המדיניות קובעת איך פועל המעקב אחרי השימוש בזיכרון של עומס העבודה אם המדיניות tee-monitoring-memory-enable מוגדרת לערך true על ידי מפעיל של עומס עבודה. הערכים התקינים הם: ‫debugonly (ברירת מחדל): אפשר לעקוב אחרי השימוש בזיכרון רק כשמשתמשים בתמונת ניפוי באגים. ‫always: תמיד לאפשר מעקב אחרי השימוש בזיכרון. ‫never: אף פעם לא לאפשר מעקב אחרי השימוש בזיכרון. זהירות: אם מאפשרים מעקב אחרי השימוש בזיכרון, מפעיל עומס העבודה יכול לראות את מדדי השימוש בזיכרון של עומס העבודה ב-Cloud Logging וב- Metrics Explorer. אם עומס העבודה לא כתוב באופן שמונע דליפה של מידע רגיש מהשימוש הכולל בזיכרון, צריך לחסום את התכונה הזו בעומסי עבודה בסביבת הייצור.
tee.launch_policy.nonroot_container אינטראקציה עם: מפעיל של עומס עבודה: משתנה המטא-נתונים tee-nonroot-container.	מחרוזת מוגדרת	קובעת אם להגביל את הרשאות ההפעלה של הקונטיינר. הערכים התקינים הם: unrestricted (ברירת המחדל): המחבר של עומס העבודה מאפשר לקונטיינר לפעול כמשתמש root או כמשתמש שאינו root. מפעיל עומס העבודה בוחר באמצעות tee-nonroot-container. ‫nonrootonly: מחבר עומס העבודה דורש שהקונטיינר יפעל כמשתמש Root. מפעיל עומס העבודה צריך להגדיר את tee-nonroot-container לערך true, אחרת המכונה הווירטואלית לא תצליח להפעיל את עומס העבודה. הערה: נתמך בתמונה של Confidential Space בגרסה confidential-space-261001 ואילך. אם משתמשים במדיניות הזו בתמונות קודמות, המערכת מתעלמת ממנה והמאגר פועל כ-root.