Алексей Коробкин
Современная версия ОС Solaris 10 содержит в себе большое количество
нововведений и уникальных технологий, что даже бывалые администраторы не
успевают уследить за всеми появившимися возможностями.
Полный список нововведений вы можете посмотреть по ссылке [4], а я попытаюсь
наглядно показать основные преимущества Solaris нового поколения.
Зоны
Классическое IT-правило «один сервис – один сервер» практически никогда не
удается реализовать из-за нехватки средств и ресурсов. «Железо» слишком
дорогое, поддержка множества серверов тоже недешевая, да и чересчур много
систем приходится администрировать сразу – невозможно уследить ни за
обновлениями, ни за пользователями. Стоимость IT-инфраструктуры с каждым новым
сервером возрастает в геометрической прогрессии. Чтобы всё-таки приблизиться к
идеалу и упростить работу администраторов, в Solaris была реализована концепция
контейнеров (containers), иначе называемых зонами (zones).
Зона похожа на Jail во FreeBSD, но имеет больше
степеней свободы. Приложения, помещенные в различные зоны, полностью
изолированы друг от друга и практически независимы от аппаратного обеспечения.
У каждой зоны может быть свой набор установленных программ, свои сетевые адреса,
свои объекты файловой системы, свой список пользователей, и в том числе свой суперпользователь
– root. Ядро системы – единственное, что есть неизменно общего у всех
установленных зон. Таким образом, каждая зона работает как независимая
операционная система, что дает нам возможность просто и безопасно создавать
виртуальные серверы, помещая приложения в соответствующие зоны.
Есть много способов практического применения зон.
Можно использовать зоны для изоляции приложений, риск атаки которых достаточно
велик – в таком случае взломщик будет ограничен пределами зоны и не сможет
нанести большого вреда. Или, к примеру, если вы поддерживаете серьезный веб-сервер,
над различными сайтами которого трудятся разные группы дизайнеров, вы можете
каждой группе предоставить свою среду, свои приложения и даже дать им полный
контроль над локальным веб-сервером или самой зоной. Если же с вашим сервером
работают программисты, то можно сгенерировать зону, максимально подобную
production-окружению, и дать им возможность как следует протестировать свои
приложения. Некоторые веб-администраторы в зону помещают honeypot-ловушки и
контролируют их активность снаружи – зона изнутри не может узнать, кто и как за
ней наблюдает.
