Uso de dispositivos en zonas no globales

El conjunto de dispositivos disponible en la zona está limitado para evitar que un proceso de una zona interfiera con la ejecución de procesos en otras zonas. Por ejemplo, un proceso de una zona no puede modificar la memoria del núcleo o el contenido del disco raíz. Por tanto, sólo hay disponibles algunos pseudodispositivos que se consideran seguros para utilizar en una zona de modo predeterminado. Pueden ponerse a disposición dispositivos adicionales en zonas específicas utilizando la utilidad zonecfg.

/dev y el espacio de nombres /devices

El sistema de archivos devfs descrito en la página del comando man devfs(7FS) es utilizado por el sistema Oracle Solaris para gestionar /devices. Cada elemento de este espacio de nombres representa la ruta física a un dispositivo de hardware, pseudodispositivo o dispositivo de nexo. El espacio de nombres es un reflejo del árbol de dispositivos. Como tal, el sistema de archivos se completa mediante una jerarquía de directorios y archivos de dispositivos especiales.

Los dispositivos se agrupan según la jerarquía de /dev relativa. Por ejemplo, todos los dispositivos de /dev en la zona global se agrupan como dispositivos de zona global. Para una zona no global, los dispositivos se agrupan en un directorio /dev debajo de la ruta root de la zona. Cada grupo es una instancia del sistema de archivos /dev montado que se monta en el directorio /dev. Por lo tanto, los dispositivos de la zona global se montan en /dev, mientras que los dispositivos para una zona no global denominada my-zone se montan en /my-zone/root/dev.

La jerarquía de archivos de /dev es gestionada por el sistema de archivos dev descrito en la página del comando man dev(7FS).

---

Precaución - Los subsistemas que se basan en los nombres de ruta de /devices no pueden ejecutarse en zonas no globales. Los subsistemas se deben actualizar para utilizar los nombres de ruta de /dev.

---

---

Precaución - Si una zona no global tiene un recurso de dispositivo con una coincidencia que incluye los dispositivos de /dev/zvol, es posible que se produzcan conflictos de espacio de nombres dentro la zona no global. Para obtener más información, consulte la página del comando man dev(7FS).

---

Dispositivos de uso exclusivo

Quizá tenga dispositivos que desee asignar a zonas específicas. Si se permite a los usuarios sin privilegios acceder a los dispositivos de bloques, éstos se podrían utilizar para crear una situación crítica del sistema, reiniciar el bus u otras acciones malintencionadas. Antes de realizar tales asignaciones, tenga en cuenta lo siguiente:

• Antes de asignar un dispositivo de cintas SCSI a una zona específica, consulte la página del comando man sgen(7D).

• Si se coloca un dispositivo físico en más de una zona, puede crearse un canal oculto entre las zonas. Las aplicaciones de zonas globales que utilizan dichos dispositivos pueden provocar que una zona no global dañe los datos o los ponga en peligro.

Administración de controladores de dispositivos

En una zona no global, puede utilizar el comando modinfo que se describe en la página del comando man modinfo(1M) para examinar la lista de módulos de núcleo cargados.

La mayoría de las operaciones relativas a la administración del núcleo, los dispositivos y las plataformas no funcionan dentro de una zona no global porque la modificación de las configuraciones del hardware de la plataforma va en contra del modelo de seguridad de la zona. Estas operaciones incluyen:

• Agregar y eliminar controladores

• Cargar y descargar módulos de núcleo de forma explícita

• Iniciar operaciones de reconfiguración dinámica (DR)

• Utilizar funciones que afectan al estado de la plataforma física

Utilidades que no funcionan o se han modificado en las zonas no globales

Utilidades que no funcionan en zonas no globales

Las utilidades siguientes no funcionan en una zona porque dependen de dispositivos que normalmente no están disponibles:

• add_drv (consulte la página del comando man add_drv(1M))

• disks (consulte la página de comando man disks(1M))

• prtconf (consulte la página del comando man prtconf(1M))

• prtdiag (consulte la página del comando man prtdiag(1M))

• rem_drv (consulte la página del comando man rem_drv(1M))

SPARC: utilidad modificada para utilizar en una zona no global

La utilidad eeprom permite ver la configuración en una zona. No obstante, no puede utilizarse para cambiar la configuración. Para obtener más información, consulte las páginas del comando man eeprom(1M) y openprom(7D).

Utilidades permitidas con consecuencias en la seguridad

Si allowed-raw-io está activado, las siguientes utilidades se pueden utilizar en una zona. Tenga en cuenta que se deben evaluar las consideraciones de seguridad. Antes de agregar dispositivos, consulte Uso de dispositivos en zonas no globales, Ejecución de aplicaciones en zonas no globales y Privilegios en una zona no global para obtener información sobre restricciones y problemas de seguridad.

• cdrecord (consulte la página del comando man cderecord(1)).

• cdrw (consulte la página del comando man cdrw(1)).

• rmformat (consulte la página del comando man rmformat(1))