Configuration des zones en lecture seule

Propriété zonecfg file-mac-profile

Par défaut, la propriété zonecfg file-mac-profile n'est pas définie dans une zone non globale. Une zone est configurée de façon à disposer d'un jeu de données racine modifiable en écriture.

Dans une zone solaris en lecture seule, la propriété file-mac-profile est utilisée pour configurer une racine de zone en lecture seule. Une racine en lecture seule restreint l'accès à l'environnement d'exécution depuis l'intérieur de la zone.

L'utilitaire zonecfg permet de définir la propriété file-mac-profile sur l'une des valeurs suivantes. Tous les profils à l'exception de none attribuent l'état lecture seule au répertoire /var/pkg et à son contenu, depuis l'intérieur de la zone.

none

Zone non globale standard, en lecture-écriture, sans protection supplémentaire au-delà des limites de zone connues. Attribuer la valeur none équivaut à ne pas définir la propriété file-mac-profile.

strict

Système de fichiers en lecture seule, sans exception.

• Les packages IPS ne peuvent pas être installés.

• Les services SMF activés en permanence sont fixes.

• Les manifestes SMF ne peuvent pas être ajoutés depuis les emplacements par défaut.

• Les fichiers de configuration de journalisation et d'audit sont fixes. Il est impossible de journaliser les données à distance.

fixed-configuration

Cette valeur permet de mettre à jour les répertoires /var/*, à l'exception de ceux contenant les composants de configuration du système.

• Les packages IPS, y compris les nouveaux packages, ne peuvent pas être installés.

• Les services SMF activés en permanence sont fixes.

• Les manifestes SMF ne peuvent pas être ajoutés depuis les emplacements par défaut.

• Les fichiers de configuration de journalisation et d'audit peuvent être locaux. syslog et la configuration d'audit sont fixes.

flexible-configuration

Cette valeur permet de modifier les fichiers des répertoires /etc/ *, ainsi que le répertoire personnel de la racine, et de mettre à jour les répertoires /var/*. Cette configuration offre les fonctionnalités les plus proches de la zone Oracle Solaris 10 native sparse root, documentée dans le manuel System Administration Guide: Oracle Solaris Containers-Resource Management and Oracle Solaris Zones . Il s'agit de la version Oracle Solaris 10 de ce manuel.

• Les packages IPS, y compris les nouveaux packages, ne peuvent pas être installés.

• Les services SMF activés en permanence sont fixes.

• Les manifestes SMF ne peuvent pas être ajoutés depuis les emplacements par défaut.

• Les fichiers de configuration de journalisation et d'audit peuvent être locaux. syslog et la configuration d'audit peuvent être modifiés.

Stratégie de la ressource zonecfg add dataset

Les jeux de données ajoutés à une zone via la ressource add dataset ne sont pas soumis à la stratégie MWAC. Les zones correspondant à des jeux de données délégués supplémentaires disposent d'un contrôle total sur ces jeux de données. Les jeux de données de plate-forme sont visibles, mais leurs données et leurs propriétés sont en lecture seule, excepté si la zone est initialisée en lecture-écriture.

Stratégie de la ressource zonecfg add fs

Les systèmes de fichiers ajoutés à une zone via la ressource add fs ne sont pas soumis à la stratégie MWAC. Un système de fichiers peut être monté en lecture seule.