OpenSolaris - 2 (základy) (diskuse)

[Zdenek Kotala]

Co se tyce ZFS a zapisove cache disku, tak je skutecne lepsi dat ZFS cely disk, ale v pripade root partitiony to nejde, protoze PC BIOS by to nedokazal nabootovat. Takze se vytvori klasicka Solarisi partitiona v ni slice a v tom pak ZFS volume. Dokud nebudou umet biosy bootovat z disku s EFI, tak to jinak asi nepujde.

[CIJOML]

Opensolaris a uz i ofiko klasicky solaris 10 tusim 2008/11 umi nabootovat uz nativne ze ZFS - pouzivaji obezlicku podobne jako linux initrd

[Zdenek Kotala]

To ja vim, ale tady jde o to jak je vytvoren ZFS volume. Pokud udelam "zpool create ..." a dam mu cely disk, tak ZFS udela EFI label na tom disku, misto klasicke partitiony a pak ho dokaze vyuzit optimalne. Pokud se jedna o root filesystem, z ktereho se bootuje, tak kvuli BIOSu, ktery umi pracovat jen se starou partition table, se musi ten ZFS volume udelat v Solarisi slice. Takze pak ZFS nema cely disk, ale jen jeho cast. A pak se s takto vytvorenou casti zachazi jinak.

[Milan Jurik]

Kdyby jsi aspon vedel, o cem mluvis...

[CIJOML]

velmi dobre, dekuji za pochvalu ;)

[Petr Adámek]

To samozřejmě ano, ale Zdeněk poukazuje na něco jiného. U ZFS se doporučuje přidávat do poolu celý disk (to znamená, že na disku není ani partition table, ale celý disk od prvního do posledního sektoru využívá ZFS). Má to několik výhod (možnost bezpečné aktivace write cache disku, efektivnější plánování IO operací, apod.)

Pro root pool to ale není možné použít, protože klasický BIOS neumí z takového disku nabootovat. Proto se to řeší tak, že se na disku vytvoří klasická partition table s MBR, v ní Solaris partition, a teprve v ní se vytvoří slice pro ZFS. Až bude každý BIOS podporovat EFI, pak to nebude nutné a i u root poolu bude možné vynechat partition table a ZFS obsadí celý disk.

[CIJOML]

aha tady se mluvi o x86 :)) Ja mam totiz vsechno na Sparcu a tam problemy s EFI neresim.

[Milan Jurik]

Fakt? Jezus, co veta, to perla.

[Petr Adámek]

Že je řeč o x86 vyplývá minimálně z toho, že Zdeněk mluví o PC BIOSu, který na sparcu určitě není .

[Petr Adámek]

Jenom drobné upřesnění - obvyklé GNU nástroje se nenacházejí v /usr/bin, ale v /usr/gnu/bin. V /usr/bin jsou tradiční nástroje Solarisu (vycházející z původních System V R4 nástrojů). Rozdíl oproti Solarisu však spočívá v tom, že standardní PATH je přednastavená jako

/usr/gnu/bin:/usr/bin:/usr/X11/bin

takže pokud zavoláme nějaký příkaz, nejdříve se hledá mezi GNU nástroji. Pokud někdo preferuje tradiční nástroje ze Solarisu, prostě si upraví svoji PATH.

[Milan Jurik]

Drive GNU tooly (aspon ty podstatnejsi) se nachazely v /usr/sfw/bin nebo i v /usr/bin s prefixem g. Tohle se pred casem zavrhlo a vznikla tato politika :

1) co ma nekolizni nazev, jde do /usr/bin

2) GNU tooly s koliznim nazvem jdou do /usr/gnu/bin a pokud to ma smysl (treba u sedu), tak v /usr/bin je hardlink s prefixem

Viz PSARC 2007/047. Jinak, co se tyce cest, viz man standards. Btw. pro ty, kteri chteji pracovat napriklad se ZFS ACLky, GNU tooly jsou na nic a meli by si nastavit cestu nejlepe podle SUSv3.

[Käyttäjä 11133]

Zrovna včera cestou z práce jsem si říkal, že by nebylo špatné si ten Solaris nainstalovat a vyzkoušet ZFS Takže už to instaluju do VMWare serveru

[Milan Jurik]

Pro zavislaky na /home i pro lokalni uzivatele:

$ tail -1 /etc/auto_home

* localhost:/export/home/&

Netusim, proc v ramci boje za priblizeni Linuxovym distribucim tohle nebylo nastaveno. Jinak opet velice pekny clanek (heh, process kontrakty jsem nikdy dosud nepotkal, diky).

[frEon]

nevim jak ostatni nastroje, ale pgrep a pkill jsou i na linuxu

[VM]

Po většině uvedených featur v Linuxu nijak netoužím, ale ty možnosti nastavení práv by se mi líbily. Svého času existovalo v jádře něco zvaného capability, což snad mělo fungovat podobně. Netušíte někdo, jak to bylo, a co se s tím stalo?

[petr_p]

Pomalu se to dostává do použitelného stavu – konečně je možné mít připojené kvalifikace k souboru, a tak se již lze obejít bez SUID bitů. Na druhou stranu množina rolí je o proti Solarisu docela chudá. Budoucnost je ale nejistá, protože prakticky veškerou funkcionalitu lze nahradit SELinuxem.

[x]

Hmmmm,jenze SELinux architektura je implementovana do Solarisu,stejne jako do FreeBSD a Darwinu

 

http://www.nsa.gov/research/selinux/index.shtml

[Majkls]

No já bych se nerad hádal, ale jste si tím jistý? Já sem totiž v kernelu nikde neviděl hooky povyšující práva (selinux umí práva akorát ořezávat, nikoli je dávat. Tedy alespoň dle mého názoru). Čili na tuhle situaci budou lepší capabilities. Navíc je s nima lidštější manipulace

[petr_p]

Pravda, z praktického hlediska jsou kvalifikace snadněji uchopitelné. Ale ve výsledku je jedno, jestli /bin/ping startuje s rootovským EUID a SELinux mu dovolí jen raw sockety, nebo startuje s neprivilegovaným EUID a má v effective a permitted množinách CAP_NET_RAW.

[Michal]

Od jadra 2.6.25 jsou capabilities jiz pouzitelne, ale distribuce s nimi zatim moc nepocitaji (alespon v Debianu to neni jeste dotazene). Docela obsahla je manualova stranka capabilities(7).

Michal

[Karel Zak]

Fedora-10 (ale musite manualne, neni to default, je jen podpora v jadru):

# chmod u-s /bin/ping
# setcap cap_net_raw=ep /bin/ping

$ ls -la /bin/ping
-rwxr-xr-x 1 root root 41784 2008-09-26 08:02 /bin/ping

$ ping www.google.com
PING www.l.google.com (74.125.43.103) 56(84) bytes of data.
64 bytes from bw-in-f103.google.com (74.125.43.103): icmp_seq=1 ttl=242 time=77.1 ms

(ale pouzivate-li SELinux tak todle resit nemusite...)

[Michal]

Ale neprijemny je (teda alespon na Debianu), ze update balicku znamena ztratu nastaveni capabilities.

[Zdenek Kotala]

Jen pro upresneni cele se to jmenuje v (Open)Solarisu RBAC = Role Based Access Control. White paper zde: www.sun.com/software/whitepapers/wp-rbac/wp-rbac.pdf