Las políticas de lanzamiento anulan las variables de metadatos de VM que establecen los operadores de cargas de trabajo para restringir las acciones maliciosas. El autor de una carga de trabajo puede configurar políticas con una etiqueta como parte de la compilación de su imagen de contenedor.
Por ejemplo, en un Dockerfile:
LABEL "tee.launch_policy.allow_cmd_override"="true"
En un archivo BUILD de Bazel, haz lo siguiente:
container_image(
...
labels={"tee.launch_policy.allow_cmd_override":"true"}
...
)
Las políticas de lanzamiento disponibles se encuentran en la siguiente tabla:
| Política | Tipo | Descripción |
|---|---|---|
|
Interactúa con lo siguiente:
|
Booleano (el valor predeterminado es false) |
Determina si un operador de carga de trabajo puede anular el
CMD especificado en el Dockerfile del contenedor de carga de trabajo con el valor de metadatos
tee-cmd.
|
|
Interactúa con lo siguiente:
|
Cadena separada por comas |
Es una cadena separada por comas de nombres de variable de entorno permitidos que un operador de cargas de trabajo puede establecer con valores de metadatos
tee-env-ENVIRONMENT_VARIABLE_NAME.
|
|
Interactúa con lo siguiente:
|
Cadena separada por dos puntos |
Es una cadena separada por dos puntos de directorios de activación permitidos a los que el operador de carga de trabajo puede activar con Por ejemplo: |
|
Interactúa con lo siguiente:
|
Cadena definida |
Determina cómo funciona el registro si un operador de carga de trabajo establece
Los valores válidos son los siguientes:
|
|
Interactúa con lo siguiente:
|
Cadena definida |
Determina cómo funciona la supervisión del uso de memoria de la carga de trabajo si un operador de carga de trabajo establece
Los valores válidos son los siguientes:
|