Solaris Zones: qué controla la zona global y en qué se diferencian las zonas de kernel de las zonas no globales

Qué es

La instancia de Solaris que se ejecuta directamente sobre el hardware (o sobre el hardware virtual de un hipervisor) es la zona global. Todo lo demás son zonas no globales: entornos de ejecución aislados que se crean y administran desde la zona global. Una zona de kernel (kernel zone) es un tipo especial de zona no global que ejecuta su propio kernel y su propia imagen del sistema operativo, independientes del kernel de la zona global; se parece más a una máquina virtual ligera que a un contenedor.

Por qué importa

Las zonas son el mecanismo integrado de Solaris para el aislamiento y la consolidación. Su finalidad es comparable a la de los contenedores de Linux, pero se administran como una funcionalidad de primer nivel del sistema operativo y no como un conjunto de namespaces ensamblados por una herramienta aparte. Salvo las operaciones simples de listado y ayuda, los comandos de administración de zonas solo funcionan desde un usuario que opera en la zona global y requieren la autorización correspondiente. Por eso un agente que trabaja dentro de una zona no global tiene, de forma deliberada, una visión y unos privilegios más acotados que uno que trabaja en la zona global.

Cómo aplicarlo

• Ver qué está definido y qué se está ejecutando: zoneadm list -cv muestra todas las zonas configuradas (-c) con detalle ampliado (-v), incluidas las que están configuradas pero no instaladas.
• Definir o modificar la configuración de una zona: zonecfg -z <zonename> abre la configuración de la zona. Dentro de esa sesión, subcomandos como create (plantilla predeterminada SYSdefault; create -t SYSsolaris-kz para una zona de kernel), los comandos set de propiedades, verify y commit crean y guardan la definición.
• Llevar una zona configurada por su ciclo de vida con zoneadm -z <zonename> install y después zoneadm -z <zonename> boot.
• Obtener una shell interactiva dentro de una zona en ejecución: zlogin <zonename>. Para conectarse a su consola en su lugar (disponible una vez instalada la zona y útil antes o durante el arranque) se usa zlogin -C <zonename>; se sale de la consola con ~. al comienzo de una línea nueva (por SSH, ~~., porque SSH consume un único ~. y cierra tu propia sesión).
• Elegir entre zona de kernel y zona no global (de marca solaris) según lo que se necesite: una zona de kernel puede ejecutar una versión de Oracle Solaris, una Support Repository Update o una versión de kernel distintas de las del host, pero necesita soporte de virtualización por hardware visible para la zona global (virtinfo debe indicar kernel-zone como compatible; los sistemas SPARC más antiguos necesitan una actualización de firmware y, en x86 dentro de una VM, debe exponerse la virtualización anidada), además del paquete de marca de zonas de kernel (brand-solaris-kz) y memoria dedicada. Una zona no global comparte el kernel de la zona global y se administra como parte de ella.

Trampas

• Intentar ejecutar la mayoría de los subcomandos de zoneadm/zonecfg desde dentro de una zona no global: requieren la zona global y la autorización adecuada, así que los scripts pensados para ejecutarse "en cualquier parte" deben comprobar antes zonename (véase el artículo de orientación de esta serie).
• Confundir una zona configurada (zoneadm list -c) con una instalada o en ejecución; solo -c garantiza ver las zonas que se definieron pero nunca se instalaron.
• Mezclar los mecanismos de actualización: las zonas de marca solaris son imágenes enlazadas (linked images) que se mantienen sincronizadas con la zona global, de modo que un pkg update en la zona global también las actualiza (los BE de las zonas siguen al BE global). Una zona de kernel, en cambio, ejecuta su propio kernel y se actualiza con pkg update desde dentro de ella, con independencia de la zona global.