ワークロードのメタデータ変数

コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

tee-image-reference

関連する項目:

• データ コラボレータ: container.image_id アサーション。

必須。これは、ワークロード コンテナの場所を指します。

例

tee-image-reference=us-docker.pkg.dev/WORKLOAD_AUTHOR_PROJECT_ID/REPOSITORY_NAME/WORKLOAD_CONTAINER_NAME:latest

tee-added-capabilities

関連する項目:

• ワークロード作成者: allow_capabilities 起動ポリシー。

ワークロード コンテナに追加の Linux 機能を追加します。

例

tee-added-capabilities="[\"CAP_SYS_ADMIN\", \"CAP_SYS_CHROOT\"]"

tee-cgroup-ns

関連する項目:

• ワークロード作成者: allow_cgroups 起動ポリシー。

デフォルトは false です。true に設定すると、/sys/fs/cgroup で名前空間方式の cgroup マウントを有効にします。

例

tee-cgroup-ns=true

tee-cmd

関連する項目:

• ワークロード作成者: allow_cmd_override 起動ポリシー。
• データ コラボレータ: container.cmd_override アサーション。

ワークロード コンテナの Dockerfile で指定された CMD 命令をオーバーライドします。

例

tee-cmd="[\"params1\", \"params2\"]"

tee-container-log-redirect

関連する項目:

• ワークロード作成者: log_redirect 起動ポリシー。

ワークロード コンテナの confidential-space-launcher フィールドで STDOUT と STDERR を Cloud Logging またはシリアル コンソールに出力します。

有効な値は次のとおりです。

• false: （デフォルト）ロギングは行われません。
• true: シリアル コンソールと Cloud Logging に出力します。
• cloud_logging: Cloud Logging にのみ出力します。
• serial: シリアル コンソールにのみ出力します。

シリアル コンソールのログ量が多いと、ワークロードのパフォーマンスに影響する可能性があります。

例

tee-container-log-redirect=true

tee-dev-shm-size-kb

/dev/shm 共有メモリ マウントのサイズ（KB 単位）を設定します。

例

tee-dev-shm-size-kb=65536

tee-env-ENVIRONMENT_VARIABLE_NAME

関連する項目:

• データ コラボレータ: container.env アサーションと container.env_override アサーション。

ワークロード コンテナに環境変数を設定します。ワークロード作成者は、環境変数名を allow_env_override 起動ポリシーに追加する必要があります。そうしないと、環境変数は設定されません。

例

tee-env-example-env-1='value-1'~tee-env-example-env-2='value-2'

tee-impersonate-service-accounts

関連する項目:

• データ コラボレータ: google_service_accounts アサーション。

ワークロード オペレーターによって権限を借用できるサービス アカウントのリスト。ワークロード オペレーターが、サービス アカウントの権限借用を許可されている必要があります。

複数のサービス アカウントをカンマで区切って指定できます。

例

tee-impersonate-service-accounts=SERVICE_ACCOUNT_NAME_1@WORKLOAD_OPERATOR_PROJECT_ID.iam.gserviceaccount.com,SERVICE_ACCOUNT_NAME_2@WORKLOAD_OPERATOR_PROJECT_ID.iam.gserviceaccount.com

tee-monitoring-memory-enable

関連する項目:

• データ コラボレータ: instance_memory_monitoring_enabled アサーション。
• ワークロード作成者: monitoring_memory_allow 起動ポリシー。

デフォルトは false です。true に設定すると、メモリ使用量のモニタリングが有効になります。Confidential VM によって収集された指標は guest/memory/bytes_used 型であり、Cloud Logging または Metrics Explorer で表示できます。

例

tee-monitoring-memory-enable=true

tee-mount

関連する項目:

• ワークロード作成者: allow_mount_destinations 起動ポリシー。

マウント定義のセミコロン区切りのリスト。マウントの定義は、Key-Value ペアのカンマ区切りのリストで構成され、type、source、destination が必要です。destination は絶対パスにする必要があります。type/source は tmpfs にする必要があります。

例

type=tmpfs,source=tmpfs,destination=/tmp/tmpfs,size=12345;type=tmpfs,source=tmpfs,destination=/run/workload

tee-restart-policy

関連する項目:

• データ コラボレータ: container.restart_policy アサーション。

ワークロードが停止したときのコンタナ ランチャーの再起動ポリシー

有効な値は次のとおりです。

• Never（デフォルト）
• Always
• OnFailure

この変数は、本番環境の Confidential Space イメージでのみサポートされます。

例

tee-restart-policy=OnFailure

tee-signed-image-repos

関連する項目:

• データ コラボレータ: container.image_signatures アサーション。

Sigstore Cosign によって生成された署名を保存する、カンマ区切りのコンテナ リポジトリのリスト。

例

tee-signed-image-repos=us-docker.pkg.dev/projectA/repo/example,us-docker.pkg.dev/projectB/repo/example,us-docker.pkg.dev/projectC/repo/example