Variabel metadata beban kerja

Operator workload

Anda dapat mengubah perilaku VM workload Confidential Space dengan meneruskan variabel ke opsi --metadata saat membuat VM.

Untuk meneruskan beberapa variabel, tetapkan pemisah terlebih dahulu dengan mengawali nilai --metadata dengan ^~^. Tindakan ini akan menetapkan pembatas ke ~, karena , digunakan dalam nilai variabel.

Contoh:

metadata="^~^tee-restart-policy=Always~tee-image-reference=us-docker.pkg.dev/WORKLOAD_AUTHOR_PROJECT_ID/REPOSITORY_NAME/WORKLOAD_CONTAINER_NAME:latest"

Tabel berikut menjelaskan variabel metadata yang dapat Anda tetapkan untuk VM workload.

Catatan: Beberapa variabel metadata dapat dipengaruhi oleh kebijakan peluncuran yang ditetapkan oleh penulis workload.

Kunci metadata	Jenis	Deskripsi dan nilai
tee-image-reference Berinteraksi dengan: Kolaborator data: Pernyataan container.image_reference.	String	Wajib. Ini mengarah ke lokasi container workload. Contoh tee-image-reference=us-docker.pkg.dev/WORKLOAD_AUTHOR_PROJECT_ID/REPOSITORY_NAME/WORKLOAD_CONTAINER_NAME:latest
ita-api-key	String	Hanya diperlukan jika Anda menggunakan Intel Trust Authority sebagai layanan pengesahan. Tetapkan nilai ke kunci API Intel Trust Authority Anda. Lihat dokumentasi Intel untuk mengetahui cara membuat kunci API Intel Trust Authority. Intel Trust Authority mendukung instance VM Intel TDX yang secara opsional memiliki GPU NVIDIA H100. Jika GPU ada, buktinya juga diverifikasi. Contoh ita-api-key=API_KEY
ita-region	String	Hanya diperlukan jika Anda menggunakan Intel Trust Authority sebagai layanan pengesahan. Tetapkan nilai ke region tempat Anda ingin Intel Trust Authority dijalankan. Region yang valid adalah: AS: https://api.trustauthority.intel.com Eropa: https://api.eu.trustauthority.intel.com Intel Trust Authority mendukung instance VM Intel TDX yang secara opsional memiliki GPU NVIDIA H100. Jika GPU ada, buktinya juga diverifikasi. Contoh ita-region=REGION_NAME
tee-added-capabilities Berinteraksi dengan: Pembuat workload: Kebijakan peluncuran allow_capabilities.	Array string JSON	Menambahkan kemampuan Linux tambahan ke container workload. Contoh tee-added-capabilities="[\"CAP_SYS_ADMIN\", \"CAP_SYS_CHROOT\"]"
tee-cgroup-ns Berinteraksi dengan: Pembuat workload: Kebijakan peluncuran allow_cgroups.	Boolean	Nilai defaultnya adalah false. Jika ditetapkan ke true, memungkinkan pemasangan cgroup dengan namespace di /sys/fs/cgroup. Contoh tee-cgroup-ns=true
tee-cmd Berinteraksi dengan: Pembuat workload: Kebijakan peluncuran allow_cmd_override. Kolaborator data: Pernyataan container.cmd_override.	Array string JSON	Mengganti petunjuk CMD yang ditentukan dalam Dockerfile container workload. Contoh tee-cmd="[\"params1\", \"params2\"]"
tee-container-log-redirect Berinteraksi dengan: Pembuat workload: Kebijakan peluncuran log_redirect.	Enumerasi	Menghasilkan STDOUT dan STDERR dari container workload ke Cloud Logging atau serial console, menggunakan kolom confidential-space-launcher. Nilai yang valid adalah: false: (default) tidak ada logging yang terjadi. true: output ke konsol serial dan Cloud Logging. cloud_logging: output hanya ke Cloud Logging. serial: output hanya ke konsol serial. Volume log yang tinggi di konsol serial dapat memengaruhi performa workload. Contoh tee-container-log-redirect=true
tee-dev-shm-size-kb	Bilangan bulat	Menetapkan ukuran dalam kB dari pemasangan memori bersama /dev/shm. Contoh tee-dev-shm-size-kb=65536
tee-env-ENVIRONMENT_VARIABLE_NAME Berinteraksi dengan: Kolaborator data: Pernyataan container.env dan container.env_override.	String	Menetapkan variabel lingkungan dalam container workload. Pembuat workload juga harus menambahkan nama variabel lingkungan ke kebijakan peluncuran allow_env_override, atau variabel tersebut tidak akan ditetapkan. Contoh tee-env-example-env-1='value-1'~tee-env-example-env-2='value-2'
tee-impersonate-service-accounts Berinteraksi dengan: Kolaborator data: Pernyataan google_service_accounts.	String	Daftar akun layanan yang dapat ditiru oleh operator workload. Operator workload harus diizinkan untuk meniru akun layanan. Beberapa akun layanan dapat dicantumkan, dipisahkan dengan koma. Contoh tee-impersonate-service-accounts=SERVICE_ACCOUNT_NAME_1@WORKLOAD_OPERATOR_PROJECT_ID.,SERVICE_ACCOUNT_NAME_2@WORKLOAD_OPERATOR_PROJECT_ID.
tee-install-gpu-driver Berinteraksi dengan: Kolaborator data: Pernyataan nvidia_gpu.cc_feature, nvidia_gpu.cc_mode, dan nvidia_gpu.gpus.	Boolean	Apakah akan menginstal driver GPU Confidential Computing NVIDIA. Memerlukan jenis mesin yang mendukung NVIDIA Confidential Computing. Contoh tee-install-gpu-driver=true
tee-monitoring-memory-enable Berinteraksi dengan: Kolaborator data: Pernyataan instance_memory_monitoring_enabled. Pembuat workload: Kebijakan peluncuran monitoring_memory_allow.	Boolean	Nilai defaultnya adalah false. Jika ditetapkan ke true, akan mengaktifkan pemantauan penggunaan memori. Metrik yang dikumpulkan oleh Confidential VM berjenis guest/memory/bytes_used, dan dapat dilihat di Cloud Logging atau Metrics Explorer. Contoh tee-monitoring-memory-enable=true
tee-mount Berinteraksi dengan: Pembuat workload: Kebijakan peluncuran allow_mount_destinations.	String	Daftar definisi pemasangan yang dipisahkan titik koma. Definisi pemasangan terdiri dari daftar key-value pair yang dipisahkan koma, yang memerlukan type, source, dan destination. destination harus berupa jalur absolut dan type/source harus berupa tmpfs. Contoh type=tmpfs,source=tmpfs,destination=/tmp/tmpfs,size=12345;type=tmpfs,source=tmpfs,destination=/run/workload
tee-nonroot-container Berinteraksi dengan: Pembuat workload: Kebijakan peluncuran nonroot_container.	Boolean	Nilai defaultnya adalah false. Jika ditetapkan ke true, container akan berjalan di namespace pengguna yang terisolasi sebagai pengguna non-root di VM host. Variabel ini harus ditetapkan ke true jika pembuat workload menetapkan tee.launch_policy.nonroot_container ke nonrootonly. Catatan: Didukung di image Confidential Space confidential-space-261001 dan yang lebih baru. Jika digunakan pada image sebelumnya, kunci ini tidak akan berpengaruh dan container akan berjalan sebagai root. Contoh tee-nonroot-container=true
tee-restart-policy Berinteraksi dengan: Kolaborator data: Pernyataan container.restart_policy.	Enumerasi	Kebijakan mulai ulang peluncur container saat workload berhenti. Nilai yang valid adalah: Never (default) Always OnFailure Variabel ini hanya didukung oleh image Confidential Space produksi. Contoh tee-restart-policy=OnFailure
tee-signed-image-repos Berinteraksi dengan: Kolaborator data: Pernyataan container.image_signatures.	String	Daftar repositori container yang dipisahkan koma yang menyimpan tanda tangan yang dihasilkan oleh Sigstore Cosign. Contoh tee-signed-image-repos=us-docker.pkg.dev/projectA/repo/example,us-docker.pkg.dev/projectB/repo/example,us-docker.pkg.dev/projectC/repo/example