Norme di lancio

I criteri di lancio sostituiscono le variabili dei metadati della VM impostate dagli operatori dei carichi di lavoro per limitare le azioni dannose. L'autore di un workload può impostare i criteri con un'etichetta durante la creazione dell'immagine del contenitore.

Ad esempio, in un Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

In un file BUILD di Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

I criteri di lancio disponibili sono riportati nella tabella seguente:

Norme Tipo Descrizione

tee.launch_policy.allow_cmd_override

Interazione con:

 Booleano (il valore predefinito è false) Determina se il valore CMD specificato in Dockerfile del contenitore del carico di lavoro può essere sostituito da un operatore del carico di lavoro con il valore dei metadati tee-cmd.

tee.launch_policy.allow_env_override

Interazione con:

 Stringa separata da virgole Una stringa separata da virgole di nomi di variabile di ambiente consentiti che possono essere impostati da un operatore di workload con valori dei metadati tee-env-ENVIRONMENT_VARIABLE_NAME.

tee.launch_policy.allow_mount_destinations

Interazione con:

  • Operatore del carico di lavoro: la variabile di metadati tee-mount.
 Stringa separata da due punti

Una stringa separata da due punti di directory di montaggio consentite a cui l'operatore del carico di lavoro è autorizzato a eseguire il montaggio utilizzando tee-mount.

Ad esempio: /run/tmp:/var/tmp:/tmp

tee.launch_policy.log_redirect

Interazione con:

 Stringa definita

Determina il funzionamento della registrazione se tee-container-log-redirect è impostato su true da un operatore di workload.

I valori validi sono:

  • debugonly (valore predefinito): consenti solo i reindirizzamenti stdout e stderr quando utilizzi un'immagine di debug.
  • always: consenti sempre i reindirizzamenti stdout e stderr.
  • never: non consentire mai i reindirizzamenti stdout e stderr.

tee.launch_policy.monitoring_memory_allow

Interazione con:

 Stringa definita

Determina il funzionamento del monitoraggio dell'utilizzo della memoria del carico di lavoro se tee-memory-monitoring-enable è impostato su true da un operatore del carico di lavoro.

I valori validi sono:

  • debugonly (valore predefinito): consenti il monitoraggio dell'utilizzo della memoria solo quando utilizzi un'immagine di debug.
  • always: consenti sempre il monitoraggio dell'utilizzo della memoria.
  • never: non consentire mai il monitoraggio dell'utilizzo della memoria.