Dtrace y Zonas
mié 12 de marzo del 2008
Dtrace es una de las grandes innovaciones de OpenSolaris, permite un nivel de monitorización difícil de imaginar anteriormente sin apenas afectar al rendimiento. Si estamos dentro de una zona, por defecto, no podremos usarlo. La seguridad de dtrace viene definida por tres privilegios dtrace_proc, dtrace_user, y dtrace_kernel. Ninguno de los tres está incluido en el set por defecto que se aplica a los procesos de una zona. Para que el administrador de una zona pueda depurar sus aplicaciones, debemos añadir los dos primeros cuando se la configuramos.#zonecfg:zone1>set limitpriv="default,dtrace_proc,dtrace_user"
El tercero no está permitido, ya que proporciona derechos para observar sucesos a nivel de kernel, de modo que podríamos obtener información de procesos que no pertenecen a nuestra zona, o hacer alguna trastada usando dtrace en modo destructivo (dtrace -w). De hecho si tratamos de asignarlo, nuestra zona no arrancará. Sin embargo podemos monitorizar los eventos del kernel relacionados con nuestros procesos desde la zona Global, para ello usaremos el predicado zonename.dtrace -n 'fbt:genunix:: /zonename == "zone1"/ { @num[probefunc] = count(); }' dtrace: description 'fbt:genunix:: ' matched 12757 probes ^C bt_gethighbit 2 bt_getlowbit 2 clear_stale_fd 2 disp_lock_exit 2 lwp_park 2 [...]
Espero veros en un par de días en el próximo Viernes Técnico.