Políticas de lançamento

As políticas de inicialização substituem as variáveis de metadados da VM definidas pelos operadores de carga de trabalho para restringir ações maliciosas. Um autor de carga de trabalho pode definir políticas com um rótulo como parte da criação da imagem do contêiner.

Por exemplo, em um Dockerfile:

LABEL "tee.launch_policy.allow_cmd_override"="true"

Em um arquivo BUILD do Bazel:

container_image(
    ...
    labels={"tee.launch_policy.allow_cmd_override":"true"}
    ...
)

As políticas de lançamento disponíveis estão na seguinte tabela:

Política Tipo Descrição

tee.launch_policy.allow_capabilities

Interage com:

 Booleano (o padrão é false) Determina se o operador de carga de trabalho pode adicionar outros recursos do Linux ao contêiner de carga de trabalho.

tee.launch_policy.allow_cgroups

Interage com:

  • Operador de carga de trabalho: a variável de metadados tee-cgroup-ns.
 Booleano (o padrão é false) Determina se o contêiner de carga de trabalho pode incluir uma montagem de cgroup com namespace em /sys/fs/cgroup.

tee.launch_policy.allow_cmd_override

Interage com:

 Booleano (o padrão é false) Determina se o CMD especificado no Dockerfile do contêiner de carga de trabalho pode ser substituído por um operador de carga de trabalho com o valor de metadados tee-cmd.

tee.launch_policy.allow_env_override

Interage com:

 String separada por vírgulas Uma string separada por vírgulas de nomes de variável de ambiente permitidas que podem ser definidas por um operador de carga de trabalho com valores de metadados tee-env-ENVIRONMENT_VARIABLE_NAME.

tee.launch_policy.allow_mount_destinations

Interage com:

  • Operador de carga de trabalho: a variável de metadados tee-mount.
 String separada por dois-pontos

Uma string separada por dois pontos de diretórios de montagem permitidos que o operador de carga de trabalho pode montar usando tee-mount.

Por exemplo: /run/tmp:/var/tmp:/tmp

tee.launch_policy.log_redirect

Interage com:

 String definida

Determina como a geração de registros funciona se tee-container-log-redirect for definido como true por um operador de carga de trabalho.

Os valores válidos são:

  • debugonly (padrão): só permite redirecionamentos de stdout e stderr ao usar uma imagem de depuração.
  • always: sempre permite redirecionamentos de stdout e stderr.
  • never: nunca permite redirecionamentos de stdout e stderr.

tee.launch_policy.monitoring_memory_allow

Interage com:

 String definida

Determina como o monitoramento do uso de memória da carga de trabalho funciona se tee-memory-monitoring-enable for definido como true por um operador de carga de trabalho.

Os valores válidos são:

  • debugonly (padrão): só permite o monitoramento do uso de memória ao usar uma imagem de depuração.
  • always: sempre permitir o monitoramento do uso da memória.
  • never: nunca permitir o monitoramento do uso de memória.