Webサーバー、アプリケーションサーバー、およびデータベースサーバーを含むWebアプリケーションの一般的なシナリオを考えてみましょう。すべてのサーバーは、ファイアウォールで区切られた異なるネットワーク領域にあります。
セキュリティの観点から、3つのサーバーをすべて同じ物理サーバーにSolaris 10ゾーンとしてインストールできますか？
Solarisゾーンには、破損したWebサーバーが他のサーバーに影響を与えないようにサーバーを隔離するセキュリティメカニズムはありますか？
ベストアンサー1
非大域ゾーンを互いに分離する安全メカニズムがあることには疑いの余地はありません。実際には、領域が実装されるように設計された方法がまさにこれだからです。
から抜粋 Oracle®Solarisゾーンの紹介
ゾーンに割り当てられたプロセスは、同じゾーンに割り当てられている他のプロセスと直接操作、監視、および通信できます。プロセスは、システムの他の領域に割り当てられたプロセスまたは領域に割り当てられていないプロセスを使用してこれらの機能を実行することはできません。異なる地域に割り当てられたプロセスは、ネットワークAPIを介してのみ通信できます。
私が知る限り、共有フォルダやネットワークなどの通信チャネルが意図的に設定されていない限り、ngz（ルトラド）で実行されるプロセスが他の領域のデータにアクセスまたは破損する既知のメカニズムはありません。 。ただし、この状況は物理的に分離されたサーバーでも発生する可能性があります。
ngzは異なるゾーンのパフォーマンスに影響を与える可能性があり、2つのゾーンが同じ基本リソース（CPU、メモリ、ディスク、ネットワークなど）を共有している場合はサービス拒否を引き起こす可能性があります。これは、これらのリソースを公正に割り当て、制限すること、またはスケジュールを計画することによって克服することができます。
一方、基本的に大域ゾーンで実行されるプロセスは、その下の各非大域ゾーンに対してある程度の可視性を有する。これが通常、大域ゾーンに管理権限以外の項目をインストールしてはいけません。
標準メカニズムに加えて、次の方法で必要なアクセス制御を有効にできます。Solaris Trusted Extensions。これらの拡張機能はラベルを使用してゾーン、ファイル、ネットワーク、およびデバイスを分類し、要求された操作の認証を強制します。
グローバルゾーン内のゾーン内で実行されている項目を非表示にするもう1つの方法は、次のようにインスタンス化することです。コア地域。これにはSolaris 11.2以降が必要です。
Solaris 10は11年前のバージョンです。多くの機能強化を備えたSolaris 11に切り替えたい場合があります。前述のカーネル領域に加えて、次の点に興味があるかもしれません。定常領域これは攻撃に対する新しい保護層を追加し、改善を導入します。Solaris 11 Trusted Extensions。