Norme di lancio

Autore del workload

I criteri di avvio sostituiscono le variabili dei metadati VM impostate dagli operatori dei workload per limitare le azioni dannose. L'autore di un workload può impostare criteri con un'etichetta durante la creazione dell'immagine container.

Ad esempio, in un Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

In un file BUILD di Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Le norme di avvio disponibili sono riportate nella tabella seguente:

Norme	Tipo	Descrizione
tee.launch_policy.allow_capabilities Interagisce con: Operatore del carico di lavoro: la variabile tee-added-capabilities dei metadati.	Booleano (il valore predefinito è false)	Determina se l'operatore del workload può aggiungere funzionalità Linux aggiuntive al container del workload.
tee.launch_policy.allow_cgroups Interagisce con: Operatore del carico di lavoro: la variabile tee-cgroup-ns dei metadati.	Booleano (il valore predefinito è false)	Determina se il container del workload può includere un montaggio cgroup con spazio dei nomi in /sys/fs/cgroup.
tee.launch_policy.allow_cmd_override Interagisce con: Operatore del carico di lavoro: la variabile tee-cmd dei metadati. Collaboratori dei dati: l'affermazione container.cmd_override.	Booleano (il valore predefinito è false)	Determina se il CMD specificato in Dockerfile del container del carico di lavoro può essere ignorato da un operatore del carico di lavoro con il valore dei metadati tee-cmd.
tee.launch_policy.allow_env_override Interagisce con: Operatore del carico di lavoro: la variabile tee-env-ENVIRONMENT_VARIABLE_NAME dei metadati. Collaboratori dei dati: le container.env e container.env_override asserzioni.	Stringa separata da virgole	Una stringa separata da virgole di nomi di variabile di ambiente consentiti che possono essere impostati da un operatore del workload con valori dei metadati tee-env-ENVIRONMENT_VARIABLE_NAME.
tee.launch_policy.allow_mount_destinations Interagisce con: Operatore del carico di lavoro: la variabile tee-mount dei metadati.	Stringa separata da due punti	Una stringa separata da due punti di directory di montaggio consentite a cui l'operatore del workload può eseguire il montaggio utilizzando tee-mount. Ad esempio: /run/tmp:/var/tmp:/tmp
tee.launch_policy.log_redirect Interagisce con: Operatore del carico di lavoro: la variabile tee-container-log-redirect dei metadati.	Stringa definita	Determina il funzionamento della registrazione se tee-container-log-redirect è impostato su true da un operatore del workload. I valori validi sono: debugonly (impostazione predefinita): consente solo i reindirizzamenti stdout e stderr quando si utilizza un'immagine di debug. always: Consenti sempre i reindirizzamenti stdout e stderr. never: non consentire mai i reindirizzamenti stdout e stderr.
tee.launch_policy.monitoring_memory_allow Interagisce con: Collaboratori dei dati: l'affermazione monitoring_enabled.memory . Operatore del carico di lavoro: la variabile tee-monitoring-memory-enable dei metadati.	Stringa definita	Determina come funziona il monitoraggio dell'utilizzo della memoria del workload se tee-monitoring-memory-enable è impostato su true da un operatore del workload. I valori validi sono: debugonly (impostazione predefinita): consente il monitoraggio dell'utilizzo della memoria solo quando viene utilizzata un'immagine di debug. always: Consenti sempre il monitoraggio dell'utilizzo della memoria. never: Non consentire mai il monitoraggio dell'utilizzo della memoria. Attenzione: se consenti il monitoraggio dell'utilizzo della memoria, l'operatore del workload può visualizzare le metriche sull'utilizzo della memoria del workload in Cloud Logging e Esplora metriche. Se il tuo workload non è scritto in modo da impedire che la memoria utilizzata divulghi informazioni sensibili, blocca questa funzionalità nei workload di produzione.