ゾーン構成データ

ゾーン構成データは、「リソース」と「プロパティー」という 2 種類のエンティティーから成ります。各リソースは、タイプのほかにも 1 つ以上のプロパティーを持つことがあります。プロパティーは名前と値から成ります。どのようなプロパティーセットを持つかは、リソースタイプによって異なります。

必須プロパティーは、zonename と zonepath だけです。

リソースタイプとプロパティー

リソースとプロパティーのタイプの説明は、次のとおりです。

zonename

ゾーンの名前。ゾーン名には次のような規則が適用されます。

各ゾーンの名前は一意でなければならない。
ゾーン名では大文字と小文字が区別される。
ゾーン名は英数字で始まる必要がある。
名前には、英数字、下線 (_)、ハイフン (-)、およびピリオド (.) を使用できます。
名前の長さは 63 文字以内でなければならない。
global という名前と SYS で始まるすべての名前は、予約されているので使用できません。

zonepath

zonepath プロパティーは、ゾーンがインストールされるパスを指定します。各ゾーンには、ルートディレクトリのパスが設定されます。これは、大域ゾーンのルートディレクトリに対する相対パスです。インストール時には、大域ゾーンのディレクトリの可視性が制限されている必要があります。ゾーンのパスの所有者は root で、モードは 700 であることが必要です。ゾーンのパスが存在しない場合、インストール時に自動的に作成されます。アクセス権が正しくない場合、自動的に修正されます。

非大域ゾーンのルートパスは 1 つ下のレベルになります。ゾーンのルートディレクトリの所有権とアクセス権は、大域ゾーンのルートディレクトリ (/) と同じになります。ゾーンのディレクトリの所有者は root で、モードは 755 であることが必要です。この階層構造により、大域ゾーンのユーザーでも権限を持っていない場合は、非大域ゾーンのファイルシステムと行き来できなくなります。

ゾーンは、ZFS データセット上に存在する必要があります。ZFS データセットは、ゾーンのインストール時または接続時に自動的に作成されます。ZFS データセットを作成できない場合、ゾーンのインストールや接続は行われません。

パス	説明
`/zones/my-zone`	`zonecfg` `zonepath`
`/zones/my-zone/root`	ゾーンのルート

詳細は、「ファイルシステムの行き来」を参照してください。

注 - zoneadm の move サブコマンドで新しいフルパス zonepath を指定することにより、ゾーンを同じシステム上の別の場所に移動できます。手順については、「非大域ゾーンの移動」を参照してください。

autoboot

このプロパティーを true に設定すると、大域ゾーンのブート時にこのゾーンが自動的にブートされます。これは、デフォルトでは false に設定されます。ゾーンサービス svc:/system/zones:default が無効になっている場合、このプロパティーの設定にもかかわらず、ゾーンは自動的にはブートしません。svcadm(1M) のマニュアルページに記載されているように、svcadm コマンドを使用してゾーンサービスを有効にできます。

global# svcadm enable zones

pkg update を実行中のこの設定については、「ゾーンのパッケージの概要」を参照してください。

bootargs

このプロパティーは、ゾーンのブート引数を設定するために使用します。reboot、zoneadm boot、または zoneadm reboot コマンドで無効にされた場合を除き、このブート引数が適用されます。「ゾーンのブート引数」を参照してください。

pool

このプロパティーは、システム上のリソースプールをゾーンに関連付けるために使用します。1 つのプール内のリソースを複数のゾーンが共有してもかまいません。「dedicated-cpu リソース」も参照してください。

limitpriv

このプロパティーは、デフォルト以外の特権マスクを指定するために使用します。「非大域ゾーン内の特権」を参照してください。

特権を追加するには、特権名だけを指定するか、特権名の前に priv_ 付けて指定します。特権を除外するには、名前の前にダッシュ (-) または感嘆符 (!) を付けます。複数の特権は、コンマで区切り、引用符 (“) で囲みます。

priv_str_to_set(3C)で説明されているように、特殊な特権セット none、all、および basic は、それぞれの通常の定義に展開されます。ゾーン構成は大域ゾーンで行われるため、特殊な特権セット zone は使用できません。特定の特権を追加または削除してデフォルトの特権セットを変更するのが一般的な使用方法であるため、特殊なセットである default はデフォルトの特権セットにマップされます。limitpriv プロパティーの先頭に default がある場合、デフォルトセットに展開されます。

次のエントリは、dtrace_proc 特権と dtrace_user 特権だけを必要とする DTrace プログラムをゾーンで使用できるようにします。

global# zonecfg -z userzone
zonecfg:userzone> set limitpriv="default,dtrace_proc,dtrace_user"

ゾーンの特権セットに不許可の特権が含まれる場合、必須の特権が欠落している場合、または未知の特権が含まれる場合、ゾーンの検証、準備、またはブートの試行は失敗し、エラーメッセージが表示されます。

scheduling-class

このプロパティーは、ゾーンのスケジューリングクラスを設定します。詳細とヒントについては、「スケジューリングクラス」を参照してください。

ip-type

このプロパティーは、すべての非大域ゾーンのために設定する必要があります。「排他的 IP 非大域ゾーン」、「共有 IP 非大域ゾーン」、および「ゾーンの構成方法」を参照してください。

dedicated-cpu

このリソースは、ゾーンの実行中にシステムのプロセッサの一部をそのゾーン専用に割り当てます。dedicated-cpu リソースは、ncpus の制限を設定し、必要に応じて importance も設定します。詳細は、「dedicated-cpu リソース」を参照してください。

capped-cpu

このリソースは、ゾーンの実行中にゾーンで消費可能な CPU リソースの量に対する制限を設定します。この capped-cpu リソースは、ncpus に制限を設けます。詳細は、「capped-cpu リソース」を参照してください。

capped-memory

このリソースは、ゾーンのメモリー上限を設定する際に使用される各プロパティーをグループ化します。capped-memory リソースは、physical、swap、および locked メモリーの制限を設定します。これらのプロパティーの少なくとも 1 つは指定する必要があります。capped-memory リソースを使用するには、service/resource-cap パッケージが大域ゾーン内にインストールされている必要があります。

anet

anet リソースは、排他的 IP ゾーンのブート時にゾーンに対して一時的な VNIC インタフェースを自動的に作成し、またゾーンの停止時にそれを削除します。

net

net リソースは、非大域ゾーンに大域ゾーン内にある既存のネットワークインタフェースを割り当てます。ネットワークインタフェースリソースは、インタフェースの名前です。各ゾーンでは、インストール済み状態から準備完了状態に移行するときに設定される、複数のネットワークインタフェースを保持できます。

dataset

ZFS データセットリソースを追加すると、ストレージ管理の非大域ゾーンへの委任が可能になります。委任されたデータセットがファイルシステムの場合は、ゾーン管理者はそのデータセット内のファイルシステムの作成と破棄、およびデータセットのプロパティーの変更を行うことができます。ゾーン管理者は、スナップショット、子のファイルシステムとボリューム、その子孫のクローンを作成できます。委任されたデータセットがボリュームの場合は、ゾーン管理者はプロパティーの設定とスナップショットの作成を行うことができます。ゾーン管理者は、ゾーンに追加されていないデータセットを操作したり、ゾーンに割り当てられているデータセットに設定されている最上位レベルの割り当て制限を超過したりすることはできません。データセットが非大域ゾーンに委任されると、zoned プロパティーが自動的に設定されます。ゾーン管理者がマウントポイントを受け入れられない値に設定しなければならない可能性があるため、ゾーンファイルシステムを大域ゾーンにマウントすることはできません。

次の方法で、ZFS データセットをゾーンに追加できます。

lofs マウントされたファイルシステムとして (大域ゾーンとの領域共有のみが目的の場合)
委任されたデータセットとして

『Oracle Solaris の管理: ZFS ファイルシステム』の第 10 章「Oracle Solaris ZFS の高度なトピック」および「ファイルシステムと非大域ゾーン」を参照してください。

データセットの問題については、第 28 章Oracle Solaris ゾーンで発生するさまざまな問題の解決も参照してください。

fs

各ゾーンでは、インストール済み状態から準備完了状態に移行するときにマウントする各種のファイルシステムを指定できます。ファイルシステムリソースは、ファイルシステムのマウントポイントのパスを指定します。ゾーンでファイルシステムを使用する方法の詳細については、「ファイルシステムと非大域ゾーン」を参照してください。

注 - 非大域ゾーン内の UFS ファイルシステムを fs リソースによって使用するには、インストールの後か、または AI マニフェストスクリプトを使用して、system/file-system/ufs パッケージをゾーンにインストールする必要があります。

fs リソースによって追加された UFS ファイルシステムの割り当て制限情報を取得するために、quota コマンド (quota(1M) を参照) は使用できません。

fs-allowed

このプロパティーを設定すると、ゾーン管理者によって作成されたか、または NFS を使用してインポートされた、該当のタイプの任意のファイルシステムをマウントし、またそのファイルシステムを管理するための機能がゾーン管理者に提供されます。また、稼働中のゾーン内でのファイルシステムのマウント権限は、fs-allowed プロパティーで制限します。デフォルトでは、hsfs ファイルシステムおよび NFS などのネットワークファイルシステムのマウントだけがゾーン内で許可されます。

このプロパティーは、ゾーンに委任されたブロックデバイスまたは ZVOL デバイスでも使用できます。

fs-allowed プロパティーは、ゾーン内からマウントできる、追加のファイルシステムのコンマ区切りリスト (たとえば、ufs,pcfs) を受け入れます。

zonecfg:my-zone> set fs-allowed=ufs,pcfs

このプロパティーは、add fs プロパティーまたは add dataset プロパティーを使用して大域ゾーンによって管理されるゾーンのマウントに影響を与えません。

セキュリティーに関する考慮事項については、「ファイルシステムと非大域ゾーン」および「非大域ゾーンでのデバイスの使用」を参照してください。

device

デバイスリソースは、デバイス照合の指定子です。各ゾーンでは、インストール済み状態から準備完了状態に移行するときに構成するべきデバイスを指定できます。

注 - 非大域ゾーン内の UFS ファイルシステムを device リソースによって使用するには、インストールの後か、または AI マニフェストスクリプトを使用して、system/file-system/ufs パッケージをゾーンにインストールする必要があります。

rctl

rctl リソースは、ゾーン規模のリソース制御に使用されます。リソース制御は、ゾーンがインストール済み状態から準備完了状態に移行するときに有効になります。

詳細は、「ゾーン規模のリソース制御の設定」を参照してください。

注 - rctl リソースの代わりに zonefig の set global_property_name サブコマンドを使用してゾーン規模のリソース制御を構成するには、「ゾーンの構成方法」を参照してください。

hostid

hostid プロパティーを使用することで、大域ゾーンのホスト ID とは異なるホスト ID を設定できます。

attr

この汎用属性は、ユーザーコメントとして使用したり、ほかのサブシステムで使用したりできます。attr の name プロパティーは、英数字で始まる必要があります。name プロパティーには、英数字、ハイフン (-)、およびピリオド (.) を使用できます。zone. で始まる属性名はシステム用に予約されています。

リソースタイプのプロパティー

リソースには、構成可能なプロパティーもあります。リソースタイプとそれに関連付けられるプロパティーは次のとおりです。

admin

ユーザー名と特定のゾーンに対するそのユーザーの承認を定義します。

zonecfg:my-zone> add admin
zonecfg:my-zone:admin> set user=zadmin
zonecfg:my-zone:admin> set auths=login,manage
zonecfg:my-zone:admin> end

auths プロパティーには、次の値を使用できます。

login (solaris.zone.login)
manage (solaris.zone.manage)
clone (solaris.zone.clonefrom)

これらの auths はゾーンの作成を可能にするわけではありません。この機能は、ゾーンのセキュリティープロファイル内に含まれています。

dedicated-cpu

ncpus、importance

CPU の数を指定し、必要に応じてプールの相対的な重要性も指定します。次の例では、ゾーン my-zone で使用する CPU の範囲を指定します。importance も設定します。

zonecfg:my-zone> add dedicated-cpu
zonecfg:my-zone:dedicated-cpu> set ncpus=1-3
zonecfg:my-zone:dedicated-cpu> set importance=2
zonecfg:my-zone:dedicated-cpu> end

capped-cpu

ncpus

CPU の数を指定します。次の例では、ゾーン my-zone の CPU 数のキャップを 3.5 に指定します。

zonecfg:my-zone> add capped-cpu
zonecfg:my-zone:capped-cpu> set ncpus=3.5
zonecfg:my-zone:capped-cpu> end

capped-memory

physical、swap、locked

ゾーン my-zone のメモリー制限を指定します。各制限は省略可能ですが、少なくとも 1 つは設定する必要があります。

zonecfg:my-zone> add capped-memory
zonecfg:my-zone:capped-memory> set physical=50m
zonecfg:my-zone:capped-memory> set swap=100m
zonecfg:my-zone:capped-memory> set locked=30m
zonecfg:my-zone:capped-memory> end

capped-memory リソースを使用するには、resource-cap パッケージが大域ゾーン内にインストールされている必要があります。

fs

dir、special、raw、type、options

fs リソースのパラメータは、ファイルシステムをマウントする方法と場所を決定する値を指定します。fs のパラメータは次のように定義されています。

dir: ファイルシステムのマウントポイントを指定します
special: 大域ゾーンからマウントするブロック型特殊デバイスの名前またはディレクトリを指定します
raw: ファイルシステム (ZFS には適用されない) をマウントする前に、fsck の実行対象の raw デバイスを指定します。
type: ファイルシステムのタイプを指定します
options: mount コマンドで使用されるオプションに似たマウントオプションを指定します

次の例の各行では、大域ゾーン内の pool1/fs1 という名前のデータセットを、構成されるゾーン内で /shared/fs1 としてマウントすることを指定しています。使用するファイルシステムのタイプは ZFS です。

zonecfg:my-zone> add fs
zonecfg:my-zone:fs> set dir=/shared/fs1
zonecfg:my-zone:fs> set special=pool1/fs1
zonecfg:my-zone:fs> set type=zfs
zonecfg:my-zone:fs> end

パラメータの詳細については、「-o nosuid オプション」、「セキュリティーの制限およびファイルシステムの動作」、および fsck(1M) と mount(1M) のマニュアルページを参照してください。また、セクション 1M のマニュアルページには、特定のファイルシステムに固有のマウントオプションに関するものがあります。このようなマニュアルページの名前は、mount_ filesystem という形式です。

注 - このリソースを使用して追加された UFS ファイルシステムの割り当て制限情報を取得するために、quota コマンド (quota(1M) を参照) は使用できません。

datasetname、alias

name

次の例では、データセット sales を非大域ゾーンでマウントして可視にし、大域ゾーンでは不可視にするように指定します。

zonecfg:my-zone> add dataset
zonecfg:my-zone> set name=tank/sales
zonecfg:my-zone> end

委任されたデータセットは、次の例に示されているようにデフォルト以外の別名を持つことができます。データセットの別名には、スラッシュ (/) を含めることができないことに注意してください。

zonecfg:my-zone> add dataset
zonecfg:my-zone:dataset> set name=tank/sales
zonecfg:my-zone:dataset> set alias=data
zonecfg:my-zone:dataset> end

デフォルトの別名に戻すには、clear alias を使用します。

zonecfg:my-zone> clear alias

anet

linkname、lower-link、 allowed-address、configure-allowed-address、defrouter、 mac-address、mac-slot、mac-prefix、mtu、maxbw、priority、 vlan-id、rxfanout、rxrings、txrings、link-protection、 allowed-dhcp-cids、bandwidth-limit

anet リソースは、ゾーンのブート時に自動 VNIC インタフェースを作成し、またゾーンの停止時にこの VNIC を削除します。リソースプロパティーは、zonecfg コマンドを使用して管理されます。使用できるプロパティーのすべてのテキストについては、zonecfg(1M) のマニュアルページを参照してください。

lower-link

作成されるリンクの基礎となるリンクを指定します。auto に設定すると、zoneadmd デーモンは、ゾーンがブートするたびに VNIC が作成されるリンクを自動的に選択します。

linkname

自動作成される VNIC の名前を指定します。

mac-address

指定された値またはキーワードに基づいて VNIC の MAC アドレスを設定します。値がキーワードでない場合は、ユニキャスト MAC アドレスとして解釈されます。サポートされるキーワードについては、zonecfg(1M) のマニュアルページを参照してください。ランダムな MAC アドレスを選択すると、生成されたアドレスはゾーンの再ブートおよびゾーンの切り離しと接続の操作後にも保持されます。

allowed-address

排他的 IP ゾーン用の IP アドレスを構成し、また排他的 IP ゾーンで使用できる、構成可能な IP アドレスセットの制限も行います。複数のアドレスを指定するには、IP アドレスのコンマ区切りリストを使用します。

defrouter

defrouter プロパティーを使用すると、非大域ゾーンと大域ゾーンが別個のネットワーク上に存在する場合にデフォルト経路を設定できます。

defrouter プロパティーが設定されたゾーンは、大域ゾーン用に構成されていないサブネット上に存在する必要があります。

zonecfg コマンドが SYSdefault テンプレートを使用してゾーンを作成すると、次のプロパティーを持つ anet リソースがゾーン構成に自動的に組み込まれます。linkname は、物理 Ethernet リンクに対して自動的に作成され、netN という形式の最初に使用できる名前 (net0) に設定されます。デフォルト値を変更するには、zonecfg コマンドを使用します。

デフォルトでは、物理 Ethernet リンク (たとえば、nxge0) に対して自動 VNIC が作成され、この VNIC にファクトリ MAC アドレスが割り当てられます。オプションの lower-link プロパティーは、自動 VNIC が作成される、基礎となるリンク nxge0 に設定されます。zonecfg コマンドを使用して、リンク名、ベースとなる物理リンク、MAC アドレス、帯域幅制限などの VNIC プロパティー、およびその他の VNIC プロパティーを指定できます。ip-type=exclusive も指定する必要があります。

zonecfg:my-zone> set ip-type=exclusive
zonecfg:my-zone:anet> add anet
zonecfg:my-zone:anet> set linkname=net0
zonecfg:my-zone:anet> set lower-link=auto
zonecfg:my-zone:anet> set mac-address=random
zonecfg:my-zone:anet> set link-protection=mac-nospoof
zonecfg:my-zone:anet> end

プロパティーの詳細については、zonecfg(1M) のマニュアルページを参照してください。リンクの各プロパティーの詳細は、dladm(1M) のマニュアルページを参照してください。

net

address、allowed-addressphysical 、defrouter

注 - 共有 IP ゾーンの場合は、IP アドレスと物理デバイスの両方を指定する必要があります。必要に応じて、デフォルトのルーターを設定できます。

排他的 IP ゾーンの場合は、物理インタフェースだけを指定する必要があります。

allowed-address プロパティーは、排他的 IP ゾーンで使用できる、構成可能な IP アドレスのセットを制限します。
defrouter プロパティーを使用すると、非大域ゾーンと大域ゾーンが別個のネットワーク上に存在する場合にデフォルト経路を設定できます。
defrouter プロパティーが設定されたゾーンは、大域ゾーン用に構成されていないサブネット上に存在する必要があります。
デフォルトのルーターを持つゾーンからのトラフィックは、宛先のゾーンに戻る前にそのルーターに送信されます。

共有 IP ゾーンがそれぞれ異なるサブネット上にある場合は、大域ゾーンでデータリンクを構成しないでください。

共有 IP ゾーンの場合の次の例では、物理インタフェースの nge0 の IP アドレスが 192.168.0.1 のゾーンに追加されています。システム上のネットワークインタフェースをリスト表示するには、次のように入力します。

global# ipadm show-if -po ifname,class,active,persistent
lo0:loopback:yes:46--
nge0:ip:yes:----

出力の各行には、ループバックの行を除いて、ネットワークインタフェースの名前があります。説明に loopback が含まれている行は、カードには当てはまりません。46 の persistent フラグは、そのインタフェースが大域ゾーン内で持続的に構成されていることを示します。yes という有効な値は、そのインタフェースが現在構成されていることを示しています。また class の ip の値は、nge0 がループバックインタフェースではないことを示しています。ゾーンのデフォルト経路は、10.0.0.1 に設定されています。defrouter プロパティーの設定は省略可能です。ip-type=shared は必須です。

zonecfg:my-zone> set ip-type=shared
zonecfg:my-zone> add net
zonecfg:my-zone:net> set physical=nge0
zonecfg:my-zone:net> set address=192.168.0.1
zonecfg:my-zone:net> set defrouter=10.0.0.1
zonecfg:my-zone:net> end

排他的 IP ゾーンの場合の次の例では、bge1 上の VLAN の bge32001 リンクが物理インタフェースに使用されています。使用可能なデータリンクを調べるには、dladm show-link を使用してください。allowed-address プロパティーは、ゾーンが使用できる IP アドレスを抑制します。defrouter プロパティーは、デフォルト経路を設定するために使用します。ip-type=exclusive も指定する必要があります。

zonecfg:my-zone> set ip-type=exclusive
zonecfg:my-zone> add net
zonecfg:myzone:net> set allowed-address=11.1.1.32/24
zonecfg:my-zone:net> set physical=bge32001
zonecfg:myzone:net> set defrouter=11.1.1.1
zonecfg:my-zone:net> end

add net 手順では、物理デバイスタイプだけを指定します。physical プロパティーは、VNIC (『Oracle Solaris 管理: ネットワークインタフェースとネットワーク仮想化』のパート III「ネットワーク仮想化およびリソース管理」に記載) にすることも可能です。

注 - Oracle Solaris オペレーティングシステムは、すべての Ethernet タイプインタフェースをサポートします。また、それらのデータリンクは dladm コマンドを使用して管理できます。

device

match、allow-partition、allow-raw-io

マッチングするデバイス名は、マッチングするパターンまたは絶対パスにできます。allow-partition と allow-raw-io の両方を true または false に設定できます。デフォルトは false です。allow-partition はパーティション分割を可能にします。allow-raw-io は uscsi を可能にします。これらのリソースの詳細は、zonecfg(1M) を参照してください。

次の例には、ディスクデバイスに対する uscsi 操作がゾーンの構成に含まれています。

zonecfg:my-zone> add device
zonecfg:my-zone:device> set match=/dev/*dsk/cXtYdZ*
zonecfg:my-zone:device> set set allow-raw-io=true
zonecfg:my-zone:device> end

注意 - デバイスを追加する場合、制限およびセキュリティーの懸念事項については、「非大域ゾーンでのデバイスの使用」、「非大域ゾーンでのアプリケーションの実行」、および「非大域ゾーン内の特権」を参照してください。

rctl

name、value

使用可能なゾーン規模のリソース制御は、次のとおりです。

zone.cpu-cap
zone.cpu-shares (推奨: cpu-shares )
zone.max-locked-memory
zone.max-lofi
zone.max-lwps (推奨: max-lwps)
zone.max-msg-ids (推奨: max-msg-ids )
zone.max-processes(推奨: max-processes
zone.max-sem-ids (推奨: max-sem-ids )
zone.max-shm-ids (推奨: max-shm-ids )
zone.max-shm-memory (推奨: max-shm-memory )
zone.max-swap

ゾーン規模のリソース制御を設定する場合に望ましい、より簡単な方法は、rctl リソースの代わりにプロパティー名を使用する方法です。詳細は、「ゾーンの構成方法」を参照してください。add rctl を使ってゾーン内のゾーン規模のリソース制御エントリを構成する場合、その形式は project データベース内のリソース制御エントリの形式とは異なります。ゾーン構成では、rctl リソースタイプは、名前と値の対 3 つから成ります。これらの名前は、priv、limit、および action です。これらの名前には、単純な値がそれぞれ設定されます。

zonecfg:my-zone> add rctl
zonecfg:my-zone:rctl> set name=zone.cpu-shares
zonecfg:my-zone:rctl> add value (priv=privileged,limit=10,action=none)
zonecfg:my-zone:rctl> end

zonecfg:my-zone> add rctl
zonecfg:my-zone:rctl> set name=zone.max-lwps
zonecfg:my-zone:rctl> add value (priv=privileged,limit=100,action=deny)
zonecfg:my-zone:rctl> end

リソース制御と属性の概要については、第 6 章リソース制御 (概要)および「非大域ゾーンで使用されるリソース制御」を参照してください。

attr

name、type、value

次の例では、ゾーンに関するコメントを追加します。

zonecfg:my-zone> add attr
zonecfg:my-zone:attr> set name=comment
zonecfg:my-zone:attr> set type=string
zonecfg:my-zone:attr> set value="Production zone"
zonecfg:my-zone:attr> end

export サブコマンドを使用すると、ゾーン構成を標準出力に出力できます。構成は、コマンドファイルに使用できる形式で保存されます。

ナビゲーションリンクをスキップ
印刷ビューの終了
	Oracle Solaris のシステム管理 (Oracle Solaris ゾーン、Oracle Solaris 10 ゾーン、およびリソース管理) Oracle Solaris 11 Information Library (日本語)