Solaris Zones: o que a zona global controla e como as kernel zones diferem das zonas não globais

O que é

A instância do Solaris que roda diretamente no hardware (ou no hardware virtual de um hipervisor) é a zona global. Todo o resto é zona não global: um ambiente de execução isolado, criado e administrado a partir da zona global. Uma kernel zone é um tipo especial de zona não global que executa seu próprio kernel e sua própria imagem do sistema operacional, independentes do kernel da zona global — mais próxima de uma máquina virtual leve do que de um contêiner.

Por que importa

As zonas são o mecanismo nativo do Solaris para isolamento e consolidação. Têm propósito semelhante ao dos contêineres Linux, mas são administradas como um recurso de primeira classe do sistema operacional, e não como um conjunto de namespaces montado por uma ferramenta separada. Com exceção de operações simples de listagem e ajuda, os comandos de administração de zonas só funcionam para um usuário que opere na zona global e que tenha a autorização adequada. Por isso, um agente dentro de uma zona não global tem, de propósito, uma visão e privilégios mais restritos do que um agente na zona global.

Como aplicar

• Para ver o que está definido e o que está em execução, use zoneadm list -cv: ele lista todas as zonas configuradas (-c) com detalhes (-v), inclusive as que estão configuradas, mas não instaladas.
• Para definir ou alterar a configuração de uma zona, use zonecfg -z <zonename>, que abre a configuração da zona. Dentro dele, subcomandos como create (modelo padrão SYSdefault; create -t SYSsolaris-kz para uma kernel zone), comandos set de propriedades, verify e commit criam e gravam a definição.
• Para levar uma zona configurada ao longo do seu ciclo de vida, execute zoneadm -z <zonename> install e depois zoneadm -z <zonename> boot.
• Para obter um shell interativo dentro de uma zona em execução, use zlogin <zonename>. Para se conectar ao console da zona — disponível depois que ela é instalada e útil antes ou durante o boot —, use zlogin -C <zonename>. Saia do console com ~. em uma nova linha (via SSH, ~~., pois o SSH consome um único ~. e encerra a sua própria sessão).
• Escolha entre kernel zone e zona não global (marca solaris) conforme a necessidade. Uma kernel zone pode executar uma versão do Oracle Solaris, uma Support Repository Update ou uma versão de kernel diferente da do host, mas exige suporte de virtualização por hardware visível para a zona global (virtinfo deve listar kernel-zone como suportado; sistemas SPARC mais antigos precisam de atualização de firmware e, em x86 dentro de uma VM, a virtualização aninhada precisa estar exposta), além do pacote de marca de kernel zone (brand-solaris-kz) e de memória dedicada a ela. Uma zona não global compartilha o kernel da zona global e é administrada como parte dela.

Armadilhas

• Tentar executar a maioria dos subcomandos de zoneadm/zonecfg de dentro de uma zona não global: eles exigem a zona global e a autorização adequada. Por isso, scripts feitos para rodar "em qualquer lugar" precisam antes de uma verificação com zonename (veja o artigo de orientação desta série).
• Confundir uma zona configurada (zoneadm list -c) com uma zona instalada ou em execução; só o -c garante a visibilidade de zonas que foram definidas, mas nunca instaladas.
• Confundir o processo de atualização: as zonas de marca solaris são imagens vinculadas (linked images), mantidas em sincronia com a zona global, de modo que um pkg update na zona global também as atualiza (os BEs das zonas acompanham o BE global). Já uma kernel zone executa o próprio kernel e é atualizada com pkg update de dentro dela, independentemente da zona global.