Règles de lancement

Les règles de lancement remplacent les variables de métadonnées de VM définies par les opérateurs de charge de travail pour limiter les actions malveillantes. Un auteur de charge de travail peut définir des stratégies avec un libellé lors de la création de son image de conteneur.

Par exemple, dans un Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

Dans un fichier BUILD Bazel :

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

Les règles de lancement disponibles sont listées dans le tableau suivant :

Règle Type Description

tee.launch_policy.allow_cmd_override

Interagit avec:

 Valeur booléenne (false par défaut) Détermine si le CMD spécifié dans le Dockerfile du conteneur de charge de travail peut être remplacé par un opérateur de charge de travail avec la valeur de métadonnées tee-cmd.

tee.launch_policy.allow_env_override

Interagit avec:

 Chaîne séparée par une virgule Chaîne de noms de variables d'environnement autorisés, séparés par une virgule, pouvant être définis par un opérateur de charge de travail avec des valeurs de métadonnées tee-env-ENVIRONMENT_VARIABLE_NAME.

tee.launch_policy.allow_mount_destinations

Interagit avec:

  • Opérateur de charge de travail: variable de métadonnées tee-mount.
 Chaîne séparée par des deux-points

Chaîne de répertoires d'installation autorisés, séparés par deux-points, que l'opérateur de charge de travail est autorisé à installer à l'aide de tee-mount.

Par exemple : /run/tmp:/var/tmp:/tmp

tee.launch_policy.log_redirect

Interagit avec:

 Chaîne définie

Détermine le fonctionnement de la journalisation si tee-container-log-redirect est défini sur true par un opérateur de charge de travail.

Les valeurs valides sont les suivantes:

  • debugonly (par défaut): n'autorisez que les redirections stdout et stderr si vous utilisez une image de débogage.
  • always: autorisez toujours les redirections stdout et stderr.
  • never: n'autorisez jamais les redirections stdout et stderr.

tee.launch_policy.monitoring_memory_allow

Interagit avec:

 Chaîne définie

Détermine le fonctionnement de la surveillance de l'utilisation de la mémoire de la charge de travail si tee-memory-monitoring-enable est défini sur true par un opérateur de charge de travail.

Les valeurs valides sont les suivantes:

  • debugonly (par défaut): n'autorisez la surveillance de l'utilisation de la mémoire que si vous utilisez une image de débogage.
  • always: autorise toujours la surveillance de l'utilisation de la mémoire.
  • never: n'autorisez jamais la surveillance de l'utilisation de la mémoire.