Políticas de lançamento

As políticas de lançamento substituem as variáveis de metadados da VM definidas pelos operadores de carga de trabalho para restringir ações maliciosas. Um autor de carga de trabalho pode definir políticas com um rótulo como parte da criação da imagem do contêiner.

Por exemplo, em um Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

Em um arquivo BUILD do Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

As políticas de lançamento disponíveis estão na seguinte tabela:

Política Tipo Descrição

tee.launch_policy.allow_cmd_override

Interage com:

 Booleano (o padrão é false) Determina se o CMD especificado na Dockerfile do contêiner de carga de trabalho pode ser substituído por um operador de carga de trabalho com o valor de metadados tee-cmd.

tee.launch_policy.allow_env_override

Interage com:

 String separada por vírgulas Uma string separada por vírgulas de nomes de variável de ambiente permitidos que podem ser definidos por um operador de carga de trabalho com valores de metadados tee-env-ENVIRONMENT_VARIABLE_NAME.

tee.launch_policy.allow_mount_destinations

Interage com:

  • Operador de carga de trabalho: a variável de metadados tee-mount.
 String separada por dois-pontos

Uma string separada por dois-pontos de diretórios de montagem permitidos que o operador de carga de trabalho pode montar usando tee-mount.

Por exemplo: /run/tmp:/var/tmp:/tmp

tee.launch_policy.log_redirect

Interage com:

 String definida

Determina como a geração de registros funciona se tee-container-log-redirect for definido como true por um operador de carga de trabalho.

Os valores válidos são:

  • debugonly (padrão): só permite redirecionamentos de stdout e stderr ao usar uma imagem de depuração.
  • always: sempre permite redirecionamentos de stdout e stderr.
  • never: nunca permita redirecionamentos de stdout e stderr.

tee.launch_policy.monitoring_memory_allow

Interage com:

 String definida

Determina como o monitoramento do uso de memória da carga de trabalho funciona se tee-memory-monitoring-enable for definido como true por um operador de carga de trabalho.

Os valores válidos são:

  • debugonly (padrão): permite apenas o monitoramento do uso da memória ao usar uma imagem de depuração.
  • always: sempre permite o monitoramento do uso da memória.
  • never: nunca permitir o monitoramento do uso da memória.