Norme di lancio

Le norme di avvio sostituiscono le variabili dei metadati delle VM impostate dagli operatori dei workload per limitare le azioni dannose. Un autore di workload può impostare norme con un'etichetta durante la creazione dell'immagine container.

Ad esempio, in un Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

In un file BUILD di Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Le norme di avvio disponibili sono riportate nella tabella seguente:

Norme Tipo Descrizione

tee.launch_policy.allow_capabilities

Interagisce con:

 Booleano (il valore predefinito è false) Determina se l'operatore del workload può aggiungere funzionalità Linux aggiuntive al container del workload.

tee.launch_policy.allow_cgroups

Interagisce con:

 Booleano (il valore predefinito è false) Determina se il container del workload può includere un montaggio di cgroup con spazio dei nomi in /sys/fs/cgroup.

tee.launch_policy.allow_cmd_override

Interagisce con:

 Booleano (il valore predefinito è false) Determina se il CMD specificato nel container del workload's Dockerfile può essere sostituito da un operatore del workload con il tee-cmd valore dei metadati.

tee.launch_policy.allow_env_override

Interagisce con:

 Stringa separata da virgole Una stringa separata da virgole di nomi di variabile di ambiente consentiti che possono essere impostati da un operatore del workload con tee-env-ENVIRONMENT_VARIABLE_NAME valori dei metadati.

tee.launch_policy.allow_mount_destinations

Interagisce con:

  • Operatore del workload: la tee-mount variabile dei metadati.
 Stringa separata da due punti

Una stringa separata da due punti di directory di montaggio consentite che l'operatore del workload è autorizzato a montare utilizzando tee-mount.

Ad esempio: /run/tmp:/var/tmp:/tmp

tee.launch_policy.log_redirect

Interagisce con:

 Stringa definita

Determina il funzionamento della registrazione se tee-container-log-redirect è impostato su true da un operatore del workload.

I valori validi sono i seguenti:

  • debugonly (valore predefinito): consente solo i reindirizzamenti di stdout e stderr quando si utilizza un'immagine di debug.
  • always: consente sempre i reindirizzamenti di stdout e stderr.
  • never: non consente mai i reindirizzamenti di stdout e stderr.

tee.launch_policy.monitoring_memory_allow

Interagisce con:

 Stringa definita

Determina il funzionamento del monitoraggio dell'utilizzo della memoria del workload se tee-monitoring-memory-enable è impostato su true da un operatore del workload.

I valori validi sono i seguenti:

  • debugonly (valore predefinito): consente il monitoraggio dell'utilizzo della memoria quando si utilizza un'immagine di debug.
  • always: consente sempre il monitoraggio dell'utilizzo della memoria.
  • never: non consente mai il monitoraggio dell'utilizzo della memoria.