Gestion des services SMF

Cette section contient des informations sur la gestion des services SMF.

Utilisation des profils de droits RBAC avec SMF

Vous pouvez utiliser les profils de droits RBAC pour permettre aux utilisateurs de gérer certains des services SMF, sans avoir à leur donner un accès root. Les profils de droits définissent les commandes que l'utilisateur peut exécuter. Pour SMF, les profils suivants ont été créés :

Service Management : l'utilisateur peut ajouter, supprimer ou modifier des services.
Service Operator : l'utilisateur peut demander des changements d'état de toute instance de service, tels que le redémarrage et l'actualisation.

Pour obtenir des informations spécifiques sur les autorisations, reportez-vous à la page de manuel smf_security(5). Pour des instructions sur l'affectation d'un profil de droits, reportez-vous à la section How to Change the RBAC Properties of a User du System Administration Guide: Security Services.

Procédure de désactivation d'une instance de service

Utilisez la procédure suivante pour désactiver un service. Le changement d'état du service est enregistré dans le référentiel de configuration de service. Une fois que le service est désactivé, l'état désactivé sera conservé en cas de réinitialisation. Le seul moyen d'exécuter le service de nouveau consiste à l'activer.

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.
Vérifiez les dépendances du service que vous voulez désactiver.
Si ce service a des dépendances dont vous avez besoin, vous ne pouvez pas désactiver ce service.
```
# svcs -D FMRI
```
Désactivez le service
```
# svcadm disable FMRI
```

Exemple 19-7 Désactivation du service rlogin

La sortie de la première commande montre que le service rlogin n'a pas de dépendances. La deuxième commande dans cet exemple désactive le service rlogin . La troisième commande montre que l'état de l'instance de service rlogin est désactivé.

# svcs -D network/login:rlogin
# svcadm disable network/login:rlogin
STATE          STIME    FMRI
# svcs network/login:rlogin
STATE          STIME    FMRI
disabled         11:17:24 svc:/network/login:rlogin

Procédure d'activation d'une instance de service

Utilisez la procédure suivante pour activer un service. Le changement d'état du service est enregistré dans le référentiel de configuration de service. Une fois que le service est activé, l'état activé sera conservé après les réinitialisations du système si les dépendances de service sont satisfaites.

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.
Déterminez si les dépendances du service sont satisfaites.
Si le service est activé, les dépendances du service sont satisfaites. Si tel n'est pas le cas, utilisez le FMRI svcadm enable -r pour activer toutes les dépendances de manière récursive.
```
# svcs -l FMRI|grep enabled
```
Activez un service.
```
# svcadm enable FMRI
```

Exemple 19-8 Activation du service rlogin

La deuxième commande dans cet exemple active le service rlogin. La troisième commande montre que l'état de l'instance de service rlogin est en ligne.

# svcs -l network/login:rlogin|grep enabled
enabled      false
# svcadm enable network/login:rlogin
# svcs network/login:rlogin
STATE          STIME    FMRI
online         12:09:16 svc:/network/login:rlogin

Exemple 19-9 Activation d'un service en mode monoutilisateur

La commande suivante active rpcbind. L'option -t démarre le service en mode temporaire qui ne modifie pas le référentiel de service. Le référentiel n'est pas accessible en écriture en mode monoutilisateur. L'option -r démarre récursivement toutes les dépendances du service nommé.

# svcadm enable -rt rpc/bind

Procédure de démarrage d'un service

Si un service est actuellement en cours d'exécution mais doit être redémarré en raison d'un changement de configuration ou pour d'autres raisons, celui-ci peut être redémarré sans que vous ayez à saisir des commandes séparées pour l'arrêter et le démarrer. La seule raison de désactiver un service, puis de l'activer se présente lorsque des modifications doivent être apportées entre la désactivation et l'activation du service.

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.
Redémarrez un service.
```
# svcadm restart FMRI
```

Procédure de restauration d'un service à l'état de maintenance

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.
Déterminez si un processus dépendant du service n'a pas été arrêté.
En règle générale, lorsqu'une instance de service est à l'état de maintenance, tous les processus associés à cette instance sont arrêtés. Cependant, vous devez vous en assurer avant de poursuivre. La commande suivante répertorie tous les processus associés à une instance de service, ainsi que les IP de ces processus.
```
# svcs -p FMRI
```
(Facultatif) Fermez les processus récents.
Répétez cette étape pour tous les processus qui sont affichés par la commande svcs.
```
# pkill -9 PID
```
Si nécessaire, réparez la configuration de service.
Consultez les fichiers journaux du service approprié dans /var/svc/log pour une liste d'erreurs.
Restaurez le service.
```
# svcadm clear FMRI
```

Procédure de rétablissement d'un autre instantané SMF

Si la configuration de service est erronée, le problème peut être résolu en rétablissant le dernier instantané qui a démarré avec succès. Dans cette procédure, un instantané précédent du service console-login est utilisé.

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.
Exécutez la commande svccfg.
```
# svccfg
svc:>
```
1. Sélectionnez l'instance de service que vous souhaitez corriger.
  Remarque - Vous devez utiliser un FMRI qui définit entièrement l'instance. Aucun raccourci n'est autorisé.
```
svc:> select system/console-login:default
svc:/system/console-login:default>
```
2. Générez une liste d'instantanés disponibles.
```
svc:/system/console-login:default> listsnap
initial
running
start
svc:/system/console-login:default>
```
3. Sélectionnez l'instantané start à rétablir.
  L'instantané start est le dernier instantané dans lequel le service a démarré avec succès.
```
svc:/system/console-login:default> revert start
svc:/system/console-login:default>
```
4. Quittez svccfg.
```
svc:/system/console-login:default> quit
#
```
Mettez à jour les informations dans le référentiel de configuration de service.
Cette étape met à jour le référentiel avec les informations de configuration provenant de l'instantané start.
```
# svcadm refresh system/console-login
```
Redémarrez l'instance de service.
```
# svcadm restart system/console-login
```

Procédure de création d'un profil SMF

Un profil est un fichier XML qui répertorie des services SMF et indique si chacun d'entre eux doit être activé ou désactivé. Les profils sont utilisés pour activer ou désactiver de nombreux services à la fois. Il n'est pas nécessaire que tous les services soient répertoriés dans un profil. Chaque profil ne doit inclure les services devant être activés ou désactivés pour rendre le profil utile.

Créez un profil.
Dans cet exemple, la commande svccfg est utilisée pour créer un profil qui reflète les services activés ou désactivés sur le système actuel. Alternativement, vous pouvez créer une copie d'un profil existant à modifier.
```
# svccfg extract> profile.xml
```
Si vous utilisez Oracle Solaris JumpStart, si vous avez un grand nombre de systèmes identiques, ou si vous voulez archiver la configuration du système pour une restauration ultérieure, vous pouvez utiliser cette procédure pour créer une version unique d'un profil SMF.
Éditez le fichier profil.xml pour apporter les modifications nécessaires.
1. Modifiez le nom du profil dans la déclaration service_bundle.
  Dans cet exemple, le nom est remplacé par profil.
```
# cat profile.xml
  ...
<service_bundle type=`profile` name=`profile`
    xmIns::xi='http://www.w3.org/2003/XInclude'
  ...
```
2. Supprimez tous les services qui ne doivent pas être gérés par ce profil.
  Pour chaque service, supprimez les trois lignes qui décrivent le service. Chaque description de service commence par <service et se termine par </service. Cet exemple montre les lignes correspondantes pour le service client LDAP.
```
# cat profile.xml
 ...
 <service name='network/ldap/client' version='1' type='service'>
         <instance  name='default' enabled='true'/>
 </service>
```
3. Ajoutez tous les services qui doivent être gérés par ce profil.
  Chaque service doit être défini à l'aide de la syntaxe en trois lignes présentée ci-dessus.
4. Si nécessaire, modifiez la valeur de l'indicateur activé pour les services sélectionnés.
  Dans cet exemple, le service sendmail est désactivé.
```
# cat profile.xml
  ...
  <service  name='network/smtp' version='1' type='service'>
    <instance  name='sendmail' enabled='false'/>
  </service>
  ...
```
Si nécessaire, appliquez le nouveau profil.
Reportez-vous à la section Procédure d'application d'un profil SMF pour obtenir des instructions.

Procédure d'application d'un profil SMF

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.
Appliquez un profil.
Dans cet exemple, le profil profil.xml est utilisé.
```
# svccfg apply profile.xml
```
Remarque - Pour obtenir des instructions spécifiques sur le basculement entre generic_limited_net.xml et generic_open.xml et les propriétés à appliquer lors de ce changement, reportez-vous à la section Modification des services offerts au réseau avec générique*.xml

Modification des services offerts au réseau avec `générique*.xml`

La commande netservices permet de basculer les services du système entre l'exposition réseau minimale et l'exposition réseau traditionnelle (comme dans des versions précédentes de Solaris). Le basculement s'effectue à l'aide des profils generic_limited.xml et generic_open.xml. En outre, certaines propriétés de service sont modifiées par la commande pour limiter des services à un mode local seulement ou au mode traditionnel, en fonction des besoins.

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.
Exécutez la commande netservices.
Dans cet exemple, l'exposition réseau ouverte ou traditionnelle est sélectionnée.
```
# /usr/sbin/netservices open
```

Exemple 19-10 Limitation de l'exposition du service réseau

Cette commande modifie les propriétés pour exécuter certains services en mode local et définit les services qui sont activés avec le profil generic_limited_net. La commande ne doit être utilisée que si le profil generic_open.xml a été appliqué.

# /usr/sbin/netservices limited

Ignorer les liens de navigation
Quitter l'aperu
	Guide d'administration système : administration de base