משתני מטא-נתונים של עומס עבודה

כדי לשנות את ההתנהגות של המכונה הווירטואלית של עומס העבודה ב-Confidential Space, אתם יכולים להעביר משתנים לאפשרות --metadata כשאתם יוצרים את המכונה הווירטואלית.

כדי להעביר כמה משתנים, קודם צריך להגדיר את התו המפריד על ידי הוספת ^~^ לפני הערך של --metadata. הפעולה הזו מגדירה את התו המפריד כ-~, כי , משמש בערכי משתנים.

לדוגמה:

metadata="^~^tee-restart-policy=Always~tee-image-reference=us-docker.pkg.dev/WORKLOAD_AUTHOR_PROJECT_ID/REPOSITORY_NAME/WORKLOAD_CONTAINER_NAME:latest"

בטבלה הבאה מפורטים משתני המטא-נתונים שאפשר להגדיר ל-VM של עומס העבודה.

מפתח המטא-נתונים סוג תיאור וערכים

tee-image-reference

אינטראקציה עם:

 String

חובה. הוא מצביע על המיקום של מאגר עומסי העבודה.

דוגמה
tee-image-reference=us-docker.pkg.dev/WORKLOAD_AUTHOR_PROJECT_ID/REPOSITORY_NAME/WORKLOAD_CONTAINER_NAME:latest

ita-api-key

 String

חובה רק אם משתמשים ב-Intel Trust Authority כשירות האימות. מגדירים את הערך למפתח ה-API של Intel Trust Authority.

ב מסמכי התיעוד של Intel מוסבר איך יוצרים מפתח API של Intel Trust Authority.

‫Intel Trust Authority תומך במכונות וירטואליות של Intel TDX, שיכולות לכלול גם GPU מסוג NVIDIA H100. אם ה-GPU קיים, גם ההוכחה שלו מאומתת.

דוגמה
ita-api-key=API_KEY

ita-region

 String

חובה רק אם משתמשים ב-Intel Trust Authority כשירות האימות. מגדירים את הערך לאזור שבו רוצים להריץ את Intel Trust Authority. האזורים התקינים הם:

  • ארה"ב: https://api.trustauthority.intel.com
  • אירופה: https://api.eu.trustauthority.intel.com

‫Intel Trust Authority תומך במכונות וירטואליות של Intel TDX, שיכולות לכלול גם GPU מסוג NVIDIA H100. אם ה-GPU קיים, גם ההוכחה שלו מאומתת.

דוגמה
ita-region=REGION_NAME

tee-added-capabilities

אינטראקציה עם:

 מערך מחרוזות JSON

מוסיפה יכולות Linux נוספות לקונטיינר של עומס העבודה.

דוגמה
tee-added-capabilities="[\"CAP_SYS_ADMIN\", \"CAP_SYS_CHROOT\"]"

tee-cgroup-ns

אינטראקציה עם:

  • יוצר עומס העבודה: מדיניות ההפעלה של allow_cgroups.
בוליאני

ברירת המחדל היא false. כשהערך הוא true, מופעלת נקודת טעינה של cgroup במרחב שמות ב-/sys/fs/cgroup.

דוגמה
tee-cgroup-ns=true

tee-cmd

אינטראקציה עם:

 מערך מחרוזות JSON

מבטלת את ההוראות של CMD שצוינו ב-Dockerfile של מאגר עומס העבודה.

דוגמה
tee-cmd="[\"params1\", \"params2\"]"

tee-container-log-redirect

אינטראקציה עם:

  • יוצר עומס העבודה: מדיניות ההפעלה של log_redirect.
ערכי ספירה

פלט של STDOUT ו-STDERR מקונטיינר עומס העבודה ל-Cloud Logging או לקונסולה טורית, באמצעות השדה confidential-space-launcher.

הערכים התקינים הם:

  • ‫false: (ברירת המחדל) לא מתבצע רישום ביומן.
  • ‫true: פלט לקונסולה הטורית ול-Cloud Logging.
  • ‫cloud_logging: פלט ל-Cloud Logging בלבד.
  • ‫serial: פלט לקונסולה הטורית בלבד.

נפח גבוה של יומנים בקונסולה הטורית עלול להשפיע על הביצועים של עומס העבודה.

דוגמה
tee-container-log-redirect=true

tee-dev-shm-size-kb

 מספר שלם

מגדיר את הגודל בקילו-בייט של נקודת הטעינה של הזיכרון המשותף של /dev/shm.

דוגמה
tee-dev-shm-size-kb=65536

tee-env-ENVIRONMENT_VARIABLE_NAME

אינטראקציה עם:

 String

מגדיר משתני סביבה בקונטיינר של עומס העבודה. יוצר עומס העבודה צריך גם להוסיף את שמות משתני הסביבה למדיניות ההפעלה של allow_env_override, אחרת הם לא יוגדרו.

דוגמה
tee-env-example-env-1='value-1'~tee-env-example-env-2='value-2'

tee-impersonate-service-accounts

אינטראקציה עם:

 String

רשימה של חשבונות שירות שמפעיל עומס העבודה יכול להתחזות אליהם. למפעיל של עומס העבודה צריכה להיות הרשאה להתחזות לחשבונות השירות.

אפשר לציין כמה חשבונות שירות, מופרדים בפסיקים.

דוגמה
tee-impersonate-service-accounts=SERVICE_ACCOUNT_NAME_1@WORKLOAD_OPERATOR_PROJECT_ID.,SERVICE_ACCOUNT_NAME_2@WORKLOAD_OPERATOR_PROJECT_ID.

tee-install-gpu-driver

אינטראקציה עם:

 בוליאני

אם להתקין את מנהל ההתקן של NVIDIA ל-GPU של Confidential Computing. צריך סוג מכונה שתומך ב-NVIDIA Confidential Computing.

דוגמה
tee-install-gpu-driver=true

tee-monitoring-memory-enable

אינטראקציה עם:

 בוליאני

ברירת המחדל היא false. כשהמדיניות מוגדרת לערך true, המעקב אחרי השימוש בזיכרון מופעל. המדדים שנאספים על ידי Confidential VM הם מסוג guest/memory/bytes_used, ואפשר לראות אותם ב-Cloud Logging או ב- Metrics Explorer.

דוגמה
tee-monitoring-memory-enable=true

tee-mount

אינטראקציה עם:

 String

רשימה של הגדרות טעינה שמופרדות באמצעות נקודה ופסיק. הגדרת טעינה מורכבת מרשימה מופרדת בפסיקים של צמדי מפתח/ערך, וצריך לכלול בה את type, source ו-destination. הערך של destination חייב להיות נתיב מוחלט, והערך של type/source חייב להיות tmpfs.

דוגמה
type=tmpfs,source=tmpfs,destination=/tmp/tmpfs,size=12345;type=tmpfs,source=tmpfs,destination=/run/workload

tee-nonroot-container

אינטראקציה עם:

 בוליאני

ברירת המחדל היא false. כשהערך הוא true, הקונטיינר פועל במרחב שמות מבודד של משתמש, כמשתמש Root ב-VM המארח. צריך להגדיר את המשתנה הזה לערך true אם יוצר עומס העבודה מגדיר את tee.launch_policy.nonroot_container לערך nonrootonly.

דוגמה
tee-nonroot-container=true

tee-restart-policy

אינטראקציה עם:

 ערכי ספירה

מדיניות ההפעלה מחדש של מרכז האפליקציות של הקונטיינר כשעומס העבודה נפסק.

הערכים התקינים הם:

  • Never (ברירת מחדל)
  • Always
  • OnFailure

המשתנה הזה נתמך רק בתמונה של Confidential Space בסביבת הייצור.

דוגמה
tee-restart-policy=OnFailure

tee-signed-image-repos

אינטראקציה עם:

 String

רשימה מופרדת בפסיקים של מאגרי קונטיינרים שבהם מאוחסנות החתימות שנוצרו על ידי Sigstore Cosign.

דוגמה
tee-signed-image-repos=us-docker.pkg.dev/projectA/repo/example,us-docker.pkg.dev/projectB/repo/example,us-docker.pkg.dev/projectC/repo/example