Solaris Zones: Was die globale Zone steuert und wie sich Kernel-Zonen von nicht-globalen Zonen unterscheiden

Worum es geht

Die Solaris-Instanz, die direkt auf der Hardware (oder auf der virtuellen Hardware eines Hypervisors) läuft, ist die globale Zone. Alles andere sind nicht-globale Zonen: isolierte Laufzeitumgebungen, die von der globalen Zone aus erstellt und verwaltet werden. Eine Kernel-Zone ist eine besondere Art nicht-globaler Zone, die einen eigenen Kernel und ein eigenes Betriebssystem-Image ausführt, unabhängig vom Kernel der globalen Zone. Sie ähnelt damit eher einer leichtgewichtigen virtuellen Maschine als einem Container.

Warum es wichtig ist

Zonen sind der in Solaris eingebaute Mechanismus für Isolation und Konsolidierung. Sie sind im Zweck mit Linux-Containern vergleichbar, werden aber als vollwertiger Teil des Betriebssystems verwaltet und nicht als Satz von Namespaces, der mit einem separaten Werkzeug zusammengesetzt wird. Abgesehen von einfachen Auflistungs- und Hilfefunktionen funktionieren Verwaltungsbefehle für Zonen nur für einen Benutzer in der globalen Zone und erfordern die passende Autorisierung. Ein Agent innerhalb einer nicht-globalen Zone hat daher bewusst eine engere Sicht und geringere Berechtigungen als einer in der globalen Zone.

So wird es angewendet

• Definierte und laufende Zonen anzeigen: zoneadm list -cv listet alle konfigurierten Zonen (-c) mit ausführlichen Angaben (-v) auf, auch Zonen, die konfiguriert, aber nicht installiert sind.
• Konfiguration einer Zone definieren oder ändern: zonecfg -z <zonename> öffnet die Konfiguration der Zone. Darin legen Unterbefehle wie create (Standardvorlage SYSdefault; create -t SYSsolaris-kz für eine Kernel-Zone), set-Befehle für Eigenschaften, verify und commit die Definition an und speichern sie dauerhaft.
• Eine konfigurierte Zone durch ihren Lebenszyklus führen: zuerst zoneadm -z <zonename> install, dann zoneadm -z <zonename> boot.
• Interaktive Shell in einer laufenden Zone öffnen: zlogin <zonename>. Stattdessen mit zlogin -C <zonename> auf die Konsole verbinden (verfügbar, sobald die Zone installiert ist, und nützlich vor oder während des Bootens). Die Konsole wird mit ~. am Zeilenanfang verlassen (über SSH mit ~~., da SSH ein einzelnes ~. selbst verarbeitet und die eigene Sitzung beendet).
• Kernel-Zone oder nicht-globale Zone (Brand solaris) nach Bedarf wählen: Eine Kernel-Zone kann ein anderes Oracle-Solaris-Release, ein anderes Support Repository Update oder eine andere Kernel-Version als der Host ausführen. Sie benötigt aber Hardware-Virtualisierungsunterstützung, die für die globale Zone sichtbar ist (virtinfo muss kernel-zone als unterstützt aufführen; ältere SPARC-Systeme benötigen ein Firmware-Update, und auf x86 innerhalb einer VM muss verschachtelte Virtualisierung bereitgestellt werden), ausserdem das Brand-Paket für Kernel-Zonen (brand-solaris-kz) und dafür reservierten Arbeitsspeicher. Eine nicht-globale Zone teilt sich den Kernel der globalen Zone und wird als Teil von ihr verwaltet.

Stolpersteine

• Die meisten zoneadm-/zonecfg-Unterbefehle innerhalb einer nicht-globalen Zone auszuführen, scheitert: Sie erfordern die globale Zone und eine passende Autorisierung. Skripte, die «überall» laufen sollen, brauchen deshalb zuerst eine Prüfung mit zonename (siehe den Orientierungsartikel in dieser Serie).
• Eine konfigurierte Zone (zoneadm list -c) mit einer installierten oder laufenden Zone verwechseln: Nur -c stellt sicher, dass auch Zonen sichtbar sind, die definiert, aber nie installiert wurden.
• Das Patching durcheinanderbringen: Zonen der Brand solaris sind Linked Images, die mit der globalen Zone synchron gehalten werden. Ein pkg update in der globalen Zone aktualisiert sie daher mit (ihre Zonen-BEs folgen dem globalen BE). Eine Kernel-Zone dagegen führt einen eigenen Kernel aus und wird unabhängig von der globalen Zone mit pkg update aus ihrem Inneren aktualisiert.