工作負載中繼資料變數

工作負載運算子

建立 VM 時，您可以將變數傳遞至 --metadata 選項，變更 Confidential Space 工作負載 VM 的行為。

如要傳遞多個變數，請先在 --metadata 值加上 ^~^ 前置字元，設定分隔符號。這樣會將分隔符號設為 ~，因為變數值中會使用 ,。

例如：

metadata="^~^tee-restart-policy=Always~tee-image-reference=us-docker.pkg.dev/WORKLOAD_AUTHOR_PROJECT_ID/REPOSITORY_NAME/WORKLOAD_CONTAINER_NAME:latest"

下表詳細列出可為工作負載 VM 設定的中繼資料變數。

注意： 部分中繼資料變數可能會受到工作負載作者設定的啟動政策影響。

中繼資料鍵	類型	說明和值
tee-image-reference 互動對象： 資料協作者： container.image_reference 聲明。	字串	這是必要旗標，這會指向工作負載容器的位置。 範例 tee-image-reference=us-docker.pkg.dev/WORKLOAD_AUTHOR_PROJECT_ID/REPOSITORY_NAME/WORKLOAD_CONTAINER_NAME:latest
ita-api-key	字串	如果您使用 Intel Trust Authority 做為認證服務，才需要這個檔案。將值設為 Intel Trust Authority API 金鑰。 如要瞭解如何建立 Intel Trust Authority API 金鑰，請參閱 Intel 的說明文件。 Intel Trust Authority 僅支援 Intel TDX VM 執行個體。 範例 ita-api-key=API_KEY
ita-region	字串	如果您使用 Intel Trust Authority 做為認證服務，才需要這個檔案。將值設為要讓 Intel Trust Authority 執行的區域。有效區域包括： 美國：https://api.trustauthority.intel.com 歐洲： https://api.eu.trustauthority.intel.com Intel Trust Authority 僅支援 Intel TDX VM 執行個體。 範例 ita-region=REGION_NAME
tee-added-capabilities 互動對象： 工作負載作者： allow_capabilities 啟動政策。	JSON 字串陣列	為工作負載容器新增其他 Linux 功能。 範例 tee-added-capabilities="[\"CAP_SYS_ADMIN\", \"CAP_SYS_CHROOT\"]"
tee-cgroup-ns 互動對象： 工作負載作者： allow_cgroups 啟動政策。	布林值	預設值為 false。設為 true 時，會在 /sys/fs/cgroup 啟用命名空間 cgroup 掛接。 範例 tee-cgroup-ns=true
tee-cmd 互動對象： 工作負載作者： allow_cmd_override 啟動政策。 資料協作者： container.cmd_override 聲明。	JSON 字串陣列	覆寫工作負載容器 Dockerfile 中指定的 CMD 指令。 範例 tee-cmd="[\"params1\", \"params2\"]"
tee-container-log-redirect 互動對象： 工作負載作者： log_redirect 啟動政策。	Enumeration	使用 confidential-space-launcher 欄位，將工作負載容器的輸出內容 STDOUT 和 STDERR 傳送至 Cloud Logging 或序列控制台。 有效值如下： false：(預設) 不會記錄任何內容。 true：輸出至序列埠主控台和 Cloud Logging。 cloud_logging：僅輸出至 Cloud Logging。 serial：僅輸出至序列主控台。 序列控制台中的記錄量過高可能會影響工作負載效能。 範例 tee-container-log-redirect=true
tee-dev-shm-size-kb	整數	設定 /dev/shm 共用記憶體 掛接的大小 (以 kB 為單位)。 範例 tee-dev-shm-size-kb=65536
tee-env-ENVIRONMENT_VARIABLE_NAME 互動對象： 資料協作者： container.env 和 container.env_override 聲明。	字串	設定工作負載容器中的環境變數。工作負載作者也必須將環境變數名稱新增至 allow_env_override 啟動政策，否則系統不會設定這些變數。 範例 tee-env-example-env-1='value-1'~tee-env-example-env-2='value-2'
tee-impersonate-service-accounts 互動對象： 資料協作者： google_service_accounts 聲明。	字串	工作負載運算子可模擬的服務帳戶清單。工作負載運算子必須 獲准模擬服務帳戶。 您可以列出多個服務帳戶，並以半形逗號分隔。 範例 tee-impersonate-service-accounts=SERVICE_ACCOUNT_NAME_1@WORKLOAD_OPERATOR_PROJECT_ID.iam.gserviceaccount.com,SERVICE_ACCOUNT_NAME_2@WORKLOAD_OPERATOR_PROJECT_ID.iam.gserviceaccount.com
tee-install-gpu-driver 互動對象： 資料協作者： nvidia_gpu.cc_feature、 nvidia_gpu.cc_mode 和 nvidia_gpu.gpus 斷言。	布林值	是否要安裝 NVIDIA 的機密運算 GPU 驅動程式。需要支援 NVIDIA 機密運算的機型。 範例 tee-install-gpu-driver=true
tee-monitoring-memory-enable 互動對象： 資料協作者： instance_memory_monitoring_enabled 聲明。 工作負載作者： monitoring_memory_allow 啟動政策。	布林值	預設值為 false。設為 true 時，會啟用記憶體用量監控功能。機密 VM 收集的指標屬於 guest/memory/bytes_used 類型，可在 Cloud Logging 或 Metrics Explorer 中查看。 範例 tee-monitoring-memory-enable=true
tee-mount 互動對象： 工作負載作者： allow_mount_destinations 啟動政策。	字串	以分號分隔的掛接定義清單。掛接定義是由以逗號分隔的清單組成，其中包含鍵/值組合，且必須包含 type、source 和 destination。destination 必須是絕對路徑，且 type/source 必須是 tmpfs。 範例 type=tmpfs,source=tmpfs,destination=/tmp/tmpfs,size=12345;type=tmpfs,source=tmpfs,destination=/run/workload
tee-restart-policy 互動對象： 資料協作者： container.restart_policy 聲明。	Enumeration	工作負載停止時，容器啟動器的重新啟動政策。 有效值如下： Never (預設) Always OnFailure 這個變數僅支援正式版 Confidential Space 映像檔。 範例 tee-restart-policy=OnFailure
tee-signed-image-repos 互動對象： 資料協作者： container.image_signatures 聲明。	字串	以半形逗號分隔的容器存放區清單，用於儲存 Sigstore Cosign 產生的簽章。 範例 tee-signed-image-repos=us-docker.pkg.dev/projectA/repo/example,us-docker.pkg.dev/projectB/repo/example,us-docker.pkg.dev/projectC/repo/example