Caractéristiques des zones non globales

Les zones non globales assurent les fonctions suivantes :

Sécurité

Lorsqu'un processus a été placé dans une zone autre que la zone globale, ni ce processus ni aucun de ses fils ne peuvent être déplacés vers une autre zone.

Les services réseau peuvent être exécutés dans une zone. En exécutant les services réseau dans une zone, vous limitez les dommages éventuels en cas de violation de la sécurité. Les actions susceptibles d'être entreprises par un intrus ayant exploité une faille de sécurité dans un logiciel exécuté dans une zone se limitent à cette zone. Les privilèges disponibles dans une zone sont un sous-ensemble de ceux disponibles sur le système.

Isolement

Les zones permettent de déployer de nombreuses applications sur une même machine, même si ces applications s'exécutent sur des domaines de confiance différents, requièrent un accès exclusif à une ressource globale ou posent des problèmes dans le cas de configurations globales. Plusieurs applications exécutées dans différentes zones en mode IP partagé sur un même système peuvent par exemple être liées au même port réseau à l'aide des différentes adresses IP associées à chaque zone ou à l'aide de l'adresse générique. Cela évite que les applications contrôlent ou interceptent mutuellement leur trafic réseau, les données de leurs systèmes de fichiers ou l'activité de leurs processus.

Isolement du réseau

Les zones sont configurées en tant que type en mode IP exclusif par défaut. Les zones sont isolées de la zone globale et l'une de l'autre au niveau de la couche IP. Cet isolement est utile pour des raisons opérationnelles et de sécurité. Les zones peuvent être utilisées pour consolider les applications qui doivent communiquer sur des sous-réseaux différents à l'aide de leurs propres LAN ou VLAN. Chaque zone peut également définir ses propres règles de sécurité de couche IP.

Virtualisation

Les zones fournissent un environnement virtuel qui peut cacher des détails tels que les périphériques physiques, l'adresse IP principale du système et le nom d'hôte aux applications. Un même environnement applicatif peut être mis à jour sur différentes machines physiques. L'environnement virtuel permet de séparer l'administration de chacune des zones. Les actions entreprises par un administrateur de zone dans une zone non globale n'ont aucune incidence sur le reste du système.

Granularité

L'isolement assuré par les zones peut porter sur presque tous les niveaux de granularité souhaités. Pour plus d'informations, reportez-vous à la section Caractéristiques des zones non globales.

Environnement

Les zones ne modifient pas l'environnement dans lequel les applications sont exécutées, excepté lorsque cela s'avère nécessaire pour atteindre les objectifs de sécurité et d'isolement voulus. Les zones ne possédant pas d'API ou d'ABI spécifique, il n'est pas nécessaire d'y porter les applications. Celles-ci s'exécutent dans l'environnement applicatif Oracle Solaris standard, doté des interfaces correspondantes, avec certaines limitations. Ces limitations concernent essentiellement les applications qui tentent d'exécuter des opérations requérant des privilèges.

Les applications de la zone globale s'exécutent sans changement, que d'autres zones soient configurées ou non.