Kebijakan peluncuran

Penulis workload

Kebijakan peluncuran mengganti variabel metadata VM yang ditetapkan oleh operator workload untuk membatasi tindakan berbahaya. Penulis workload dapat menetapkan kebijakan dengan label sebagai bagian dari pembuatan image container.

Misalnya, dalam Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

Dalam file BUILD Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Kebijakan peluncuran yang tersedia ada dalam tabel berikut:

Kebijakan	Jenis	Deskripsi
tee.launch_policy.allow_capabilities Berinteraksi dengan: Operator workload: Variabel metadata tee-added-capabilities.	Boolean (default-nya adalah false)	Menentukan apakah operator workload dapat menambahkan kemampuan Linux tambahan ke container workload.
tee.launch_policy.allow_cgroups Berinteraksi dengan: Operator workload: Variabel metadata.tee-cgroup-ns	Boolean (default-nya adalah false)	Menentukan apakah container workload diizinkan untuk menyertakan cgroup mount dengan namespace di /sys/fs/cgroup.
tee.launch_policy.allow_cmd_override Berinteraksi dengan: Operator workload: Variabel metadata.tee-cmd Kolaborator data: Pernyataan container.cmd_override.	Boolean (default-nya adalah false)	Menentukan apakah CMD yang ditentukan dalam Dockerfile container workload dapat diganti oleh operator workload dengan nilai metadata tee-cmd.
tee.launch_policy.allow_env_override Berinteraksi dengan: Operator workload: Variabel metadata tee-env-ENVIRONMENT_VARIABLE_NAME. Kolaborator data: Pernyataan container.env dan container.env_override.	String yang dipisahkan koma	String yang dipisahkan koma dari nama variabel lingkungan yang diizinkan dan dapat ditetapkan oleh operator workload dengan tee-env-ENVIRONMENT_VARIABLE_NAME nilai metadata.
tee.launch_policy.allow_mount_destinations Berinteraksi dengan: Operator workload: Variabel metadata.tee-mount	String yang dipisahkan titik dua	String yang dipisahkan titik dua dari direktori pemasangan yang diizinkan dan dapat dipasang oleh operator workload menggunakan tee-mount. Contoh: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Berinteraksi dengan: Operator workload: Variabel metadata.tee-container-log-redirect	String yang ditentukan	Menentukan cara kerja logging jika tee-container-log-redirect ditetapkan ke true oleh operator workload. Nilai yang valid adalah sebagai berikut: debugonly (default): Hanya mengizinkan stdout dan stderr pengalihan saat menggunakan image debug. always: Selalu mengizinkan stdout dan stderr pengalihan. never: Tidak pernah mengizinkan stdout dan stderr pengalihan.
tee.launch_policy.monitoring_memory_allow Berinteraksi dengan: Kolaborator data: Pernyataan monitoring_enabled.memory . Operator workload: Variabel metadata tee-monitoring-memory-enable.	String yang ditentukan	Menentukan cara kerja pemantauan penggunaan memori workload jika tee-monitoring-memory-enable ditetapkan ke true oleh operator workload. Nilai yang valid adalah sebagai berikut: debugonly (default): Hanya mengizinkan pemantauan penggunaan memori saat menggunakan image debug. always: Selalu mengizinkan pemantauan penggunaan memori. never: Tidak pernah mengizinkan pemantauan penggunaan memori. Perhatian: Jika Anda mengizinkan pemantauan penggunaan memori, operator workload dapat melihat metrik penggunaan memori workload di Cloud Logging dan Metrics Explorer. Jika workload Anda tidak ditulis dengan cara yang mencegah total penggunaan memori membocorkan informasi sensitif, blokir fitur ini pada workload produksi.