Gestión de servicios SMF

Esta sección incluye información sobre la gestión de servicios SMF.

Uso de perfiles de derechos de RBAC con la SMF

Puede utilizar perfiles de derechos de RBAC para permitir que los usuarios gestionen algunos de los servicios SMF, sin tener que proporcionar acceso al usuario root. Los perfiles de derechos definen qué comandos el usuario puede ejecutar. Para la SMF, los perfiles siguientes se han creado:

Service Management: el usuario puede agregar, suprimir o modificar servicios.
Service Operator: el usuario puede solicitar cambios de estado de cualquier instancia de servicio, como reiniciar y actualizar.

Para obtener información específica sobre las autorizaciones, consulte la página del comando man smf_security(5). Para obtener instrucciones para asignar un perfil de derechos, consulte Cómo cambiar las propiedades RBAC de un usuario de Guía de administración del sistema: servicios de seguridad.

Cómo deshabilitar una instancia de servicio

Utilice el siguiente procedimiento para deshabilitar un servicio. El cambio de estado del servicio se registra en el depósito de configuración de servicios. Una vez que se deshabilita el servicio, el estado deshabilitado se mantiene en todos los reinicios. La única forma de que el servicio esté en ejecución de nuevo es habilitarlo.

Conviértase en superusuario o asuma un rol similar.
Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.
Compruebe los dependientes del servicio que desea deshabilitar.
Si este servicio tiene dependientes que se necesitan, no se puede deshabilitar.
```
# svcs -D FMRI
```
Deshabilite el servicio.
```
# svcadm disable FMRI
```

Ejemplo 19-7 Deshabilitación del servicio rlogin

La salida del primer comando muestra que el servicio rlogin no tiene dependientes. El segundo comando en este ejemplo deshabilita el servicio rlogin. El tercer comando muestra que el estado de la instancia de servicio rlogin es deshabilitado.

# svcs -D network/login:rlogin
# svcadm disable network/login:rlogin
STATE          STIME    FMRI
# svcs network/login:rlogin
STATE          STIME    FMRI
disabled         11:17:24 svc:/network/login:rlogin

Cómo habilitar una instancia de servicio

Utilice el siguiente procedimiento para habilitar un servicio. El cambio de estado del servicio se registra en el depósito de configuración de servicios. Una vez que se habilita el servicio, el estado habilitado se mantiene en los reinicios del sistema si las dependencias del servicio se cumplen.

Conviértase en superusuario o asuma un rol similar.
Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.
Determine si se cumplen las dependencias del servicio.
Si el servicio está habilitado, las dependencias del servicio se cumplen. Si no lo está, utilice el FMRI svcadm enable -r para habilitar de forma recursiva todas las dependencias.
```
# svcs -l FMRI|grep enabled
```
Habilite un servicio.
```
# svcadm enable FMRI
```

Ejemplo 19-8 Habilitación del servicio rlogin

El segundo comando en este ejemplo habilita el servicio rlogin. El tercer comando muestra que el estado de la instancia de servicio rlogin es online.

# svcs -l network/login:rlogin|grep enabled
enabled      false
# svcadm enable network/login:rlogin
# svcs network/login:rlogin
STATE          STIME    FMRI
online         12:09:16 svc:/network/login:rlogin

Ejemplo 19-9 Habilitación de un servicio en modo de usuario único

El siguiente comando habilita rpcbind. La opción -t inicia el servicio en modo temporal, que no cambia el depósito de servicios. El depósito no se puede escribir en modo de usuario único. La opción -r inicia recursivamente todas las dependencias del servicio especificado.

# svcadm enable -rt rpc/bind

Cómo reiniciar un servicio

Si un servicio se está ejecutando, pero se debe reiniciar debido a un cambio de configuración o algún otro motivo, el servicio se puede reiniciar sin tener que escribir comandos separados para detener e iniciar el servicio. El único motivo para específicamente deshabilitar y luego habilitar un servicio es si los cambios se deben realizar antes de habilitar el servicio y después de deshabilitar el servicio.

Conviértase en superusuario o asuma un rol similar.
Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.
Reinicie un servicio.
```
# svcadm restart FMRI
```

Cómo restaurar un servicio que está en estado de mantenimiento

Conviértase en superusuario o asuma un rol similar.
Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.
Determine si algún proceso que depende del servicio no se ha detenido.
En general, cuando una instancia de servicio está en estado de mantenimiento, todos los procesos asociados con esa instancia se han detenido. Sin embargo, debe asegurarse antes de continuar. El siguiente comando muestra todos los procesos que están asociados a una instancia de servicio, así como los PID para esos procesos.
```
# svcs -p FMRI
```
(Opcional) Finalice los procesos restantes.
Repita este paso para todos los procesos mostrados por el comando svcs.
```
# pkill -9 PID
```
Si es necesario, repare la configuración del servicio.
Consulte los archivos de registro de servicio adecuados en /var/svc/log para ver una lista de errores.
Restaure el servicio.
```
# svcadm clear FMRI
```

Cómo revertir a otra instantánea de la SMF

Si la configuración del servicio es incorrecta, el problema puede ser reparado revirtiendo a la última instantánea que se ha iniciado correctamente. En este procedimiento, se utiliza una instantánea anterior del servicio console-login.

Conviértase en superusuario o asuma un rol similar.
Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.
Ejecute el comando svccfg.
```
# svccfg
svc:>
```
1. Seleccione la instancia de servicio que desea reparar.
  Nota - Debe utilizar un FMRI que defina completamente la instancia. No se permiten accesos directos.
```
svc:> select system/console-login:default
svc:/system/console-login:default>
```
2. Genere una lista de instantáneas disponibles.
```
svc:/system/console-login:default> listsnap
initial
running
start
svc:/system/console-login:default>
```
3. Seleccione esta opción para revertir a la instantánea start.
  La instantánea start es la última instantánea en la que el servicio se inició correctamente.
```
svc:/system/console-login:default> revert start
svc:/system/console-login:default>
```
4. Salga de svccfg.
```
svc:/system/console-login:default> quit
#
```
Actualice la información del depósito de configuración de servicios.
Este paso actualiza el depósito con la información de configuración de la instantánea start.
```
# svcadm refresh system/console-login
```
Reinicie la instancia de servicio.
```
# svcadm restart system/console-login
```

Cómo crear un perfil de la SMF

Un perfil es un archivo XML que muestra los servicios SMF e indica si cada uno debe estar habilitado o deshabilitado. Los perfiles se utilizan para habilitar o deshabilitar muchos servicios a la vez. No es necesario que todos los servicios se muestren en un perfil. Cada perfil sólo debe incluir los servicios que se deben habilitar o deshabilitar para que el perfil sea útil.

Cree un perfil.
En este ejemplo, el comando svccfg se utiliza para crear un perfil que refleja los servicios que están habilitados o deshabilitados en el sistema actual. También puede realizar una copia de un perfil existente para editar.
```
# svccfg extract> profile.xml
```
Si está utilizando Oracle Solaris JumpStart, si tiene un gran número de sistemas idénticos o si desea archivar la configuración del sistema para su posterior restauración, puede que desee utilizar este procedimiento para crear una versión única de un perfil de la SMF.
Edite el archivo profile.xml para realizar los cambios necesarios.
1. Cambie el nombre del perfil en la declaración service_bundle.
  En este ejemplo, el nombre se cambia a profile.
```
# cat profile.xml
  ...
<service_bundle type=`profile` name=`profile`
    xmIns::xi='http://www.w3.org/2003/XInclude'
  ...
```
2. Elimine todos los servicios que no deben ser administrados por este perfil.
  Para cada servicio, elimine las tres líneas que describen el servicio. Cada descripción de servicio comienza con <service y finaliza con </service. En este ejemplo, se muestran las líneas del servicio del cliente LDAP.
```
# cat profile.xml
 ...
 <service name='network/ldap/client' version='1' type='service'>
         <instance  name='default' enabled='true'/>
 </service>
```
3. Agregue todos los servicios que deben ser administrados por este perfil.
  Cada servicio se debe establecer utilizando los tres sintaxis de línea que se muestran arriba.
4. Si es necesario, cambie el indicador habilitado de los servicios seleccionados.
  En este ejemplo, el servicio sendmail está deshabilitado.
```
# cat profile.xml
  ...
  <service  name='network/smtp' version='1' type='service'>
    <instance  name='sendmail' enabled='false'/>
  </service>
  ...
```
Cuando sea necesario, aplique el nuevo perfil.
Consulte Cómo aplicar un perfil de la SMF para obtener instrucciones.

Cómo aplicar un perfil de la SMF

Conviértase en superusuario o asuma un rol similar.
Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.
Aplique un perfil.
En este ejemplo, se usa el perfil profile.xml.
```
# svccfg apply profile.xml
```
Nota - Para ver instrucciones específicas para alternar entre generic_limited_net.xml y generic_open.xml y las propiedades que es necesario aplicar al realizar esta alternación, consulte Cambio de servicios ofrecidos en la red con generic*.xml.

Cambio de servicios ofrecidos en la red con `generic*.xml`

El comando netservices alterna servicios del sistema entre la exposición de red mínima y la exposición de red tradicional (como en las versiones anteriores de Solaris). La alternación se realiza con los perfiles generic_limited.xml y generic_open.xml. Además, algunas propiedades de servicios son cambiadas por el comando para limitar algunos servicios al modo sólo local o al modo tradicional, según corresponda.

Conviértase en superusuario o asuma un rol similar.
Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.
Ejecute el comando netservices.
En este ejemplo, se selecciona la exposición de red abierta o tradicional.
```
# /usr/sbin/netservices open
```

Ejemplo 19-10 Limitación de exposición de servicio de red

Este comando cambia las propiedades para ejecutar algunos servicios en el modo local, así como restringe los servicios que se habilitan con el perfil generic_limited_net. El comando sólo se debe utilizar si el perfil generic_open.xml se ha aplicado.

# /usr/sbin/netservices limited

Omitir V�nculos de navegaci�n
Salir de la Vista de impresi�n
	Guía de administración del sistema: administración básica