¿Qué son las zonas?

Las zonas son una funcionalidad de gestión de recursos del sistema operativo Solaris 10. Esta función permite al sistema operativo presentarse a las aplicaciones como entornos (zonas) del sistema operativo virtual que están aisladas y protegidas. Estas zonas proporcionan las ventajas de la independencia de los sistemas operativos junto con un cierto nivel de gestión de recursos centralizada. Así las aplicaciones se pueden aislar las unas de las otras al estar instaladas y ejecutarse desde zonas diferentes, a la vez que se asignan y utilizan centralmente ciertos recursos del sistema operativo.

Desde el punto de vista de un sistema operativo compatible con varias zonas, los recursos del sistema operativo incluyen recursos como la gestión de procesos, memoria, configuración de la red, sistemas de archivos, registros de paquetes, cuentas de usuario, bibliotecas compartidas y, en algunos casos, aplicaciones instaladas.

Estructura de un entorno de varias zonas

Los entornos de varias zonas consisten en una zona global (el sistema operativo predeterminado) y una o más zonas no globales. La zona global contiene recursos que un administrador global (de zonas) puede asignar a zonas no globales. Las zonas no globales proporcionan las características siguientes:

• Security (Seguridad). Al ejecutar servicios distribuidos en zonas no globales, se pueden limitar los daños posibles en caso de una violación de la seguridad. Un intruso que se aproveche de un defecto de seguridad dentro de una zona estará limitado a dicha zona. Los privilegios disponibles dentro de una zona no global son un subconjunto de los disponibles en una zona global.

• Aislamiento durante el tiempo de ejecución. Las zonas no globales permiten la implementación de varias aplicaciones en un mismo equipo, incluso si dichas aplicaciones requieren distintos niveles de seguridad, acceso exclusivo a recursos globales o una configuración personalizada. Por ejemplo, varias aplicaciones que se están ejecutando en diferentes zonas pueden utilizar el mismo puerto de la red mediante direcciones IP diferentes asociadas con cada zona no global. Las aplicaciones no pueden ver ni interceptar el tráfico de red, datos de sistema de archivos o de los procesos de las otras aplicaciones.

• Aislamiento de la gestión. El entorno del sistema operativo virtualizado permite separar la gestión de cada zona no global. Las acciones llevadas a cabo por un administrador de zona (los que no son administradores globales) en una zona no global, tal como crear cuentas de usuario, instalar y configurar software y gestionar procesos no afectan las demás zonas.

Existen dos tipos de zonas no globales: zonas de raíz completa y zonas de poca raíz:

• Zonas de raíz completa. Contienen una copia de lectura/escritura del sistema de archivos que existe en la zona global. Cuando se crea una zona de raíz completa, todos los paquetes que se instalan en la zona global están a disposición de la zona de raíz completa: se crea una base de datos de paquete y se copian todos los archivos en la zona raíz entera para el uso dedicado e independente de la zona.

• Zonas de poca raíz. Contienen una copia de lectura/escritura de sólo una parte del sistema de archivos existente en la zona global (por esto se llaman de poca raíz) mientras otros sistemas de archivos están montados de forma de sólo escritura desde la zona global como sistemas de archivo virtuales loop-back. Cuando se crea una zona de poca raíz, el administrador global selecciona los sistemas de archivos para compartir la zona de poca raíz (de manera predeterminada, los directorios /usr, /lib, /sbin y /platform se comparten como sistemas de archivos de sólo lectura). Todos los paquetes instalados en la zona global se encuentran disponibles en la zona de poca raíz: se crea una base de datos de paquetes y todos los archivos del sistema de archivos montado se comparten con la zona.

Zonas de raíz completa / zonas de poca raíz

La decisión de utilizar zonas no globales de raíz completa o utilizar zonas no globales de poca raíz depende de si se quiere potenciar la eficiencia de recursos o el control de gestión. Las zonas de raíz completa le permite maximizar el control de la gestión (independencia y aislamiento) pero pagando el precio del incremento de uso de la memoria y otros recursos, mientras que las zonas de poca raíz optimizan el uso compartido eficiente de ejecutables y bibliotecas compartidas (a la vez que utiliza menos espacio de disco) pero pagando el precio de falta de independencia de gestión. Actualmente no existe ningún sistema de medición de las ventajas de rendimiento de zonas de poca raíz en relación a las zonas de raíz completa. Depende en buena medida en el software.

Propagación de paquetes

Los paquetes instalados en una zona global están (por defecto) disponibles para todas las zonas no globales: un proceso llamado propagación de paquetes. (Para que sea posible la propagación, las zonas no globales nuevas tienen que estar iniciadas, es decir estar en estado de ejecución) La propagación proporciona visibilidad y disponibilidad local (no global) a los paquetes instalados en la zona global. La propagación permite que la gestión de ciclos de vida de los paquetes de las aplicaciones (instalación, actualización, desinstalación) se realice de forma centralizada por un administrador global, mientras que la configuración de las aplicaciones y la gestión del tiempo de ejecución las realizan administradores de zonas (no globales).

Para las zonas de raíz completa, la propagación se logra a través de la copia automática de los archivos instalados de la zona global a las zonas de raíz completa y a través de la sincronización automática de información de registro. Para las zonas de poca raíz la propagación se logra mediante sistemas de archivos de sólo lectura compartidos entre las zonas globales y de poca raíz y mediante la sincronización automática de información del registro.

La propagación de paquetes a zonas no globales se controla a nivel de paquetes mediante atributos de paquete internos. Para algunos valores de estos atributos (los valores predeterminados, como mínimo), la propagación se puede deshabilitar en el momento de instalación mediante la opción pkgadd —G, que anula los valores de atributo. Una vez instalado, el comportamiento de propagación de un paquete no se puede modificar, excepto si se desinstala y se vuelve a instalar. Los parches, por ejemplo, no pueden cambiar el comportamiento de propagación de un paquete; de hecho, los parches deben aplicarse según el comportamiento de propagación del paquete que están actualizando.