RHACS 云服务服务描述

Red Hat 的信息安全指南符合 NIST 网络安全框架，并已获得高层管理批准。Red Hat 拥有一个由全球分布的认证信息安全专业人员组成的专门团队。请参阅以下资源：

Red Hat 拥有严格的内部政策和实践来保护我们的客户及其业务。这些政策和实践是保密的。此外，我们遵守所有适用的法律法规，包括与数据隐私相关的法规。

Red Hat 的信息安全角色和职责不委托给第三方管理。

Red Hat 拥有其公司信息安全管理体系 (ISMS) 的 ISO 27001 认证，该体系规定了我们所有人员的工作方式、公司端点设备以及身份验证和授权实践。我们通过在 Red Hat 企业安全标准 (ESS) 中实施所有 Red Hat 使用的基础设施、产品、服务和技术，采取了标准化的方法。ESS 的副本可应要求提供。

RHACS 云服务运行在托管在 Amazon Web Services (AWS) 上的 OpenShift Dedicated 实例上。OpenShift Dedicated 符合 ISO 27001、ISO 27017、ISO 27018、PCI DSS、SOC 2 Type 2 和 HIPAA 标准。强大的流程和安全控制与行业标准一致，以管理信息安全。

RHACS 云服务遵循为 OpenShift Dedicated 定义的相同安全原则、指南、流程和控制。这些认证证明我们的服务平台、相关运营和管理实践如何与核心安全要求保持一致。我们通过遵循 NIST 定义的可靠安全软件开发框架 (SSDF) 实践（包括构建管道安全）来满足许多这些要求。SSDF 控制的实施是通过我们为所有产品和服务提供的安全软件管理生命周期 (SSML) 来实现的。

Red Hat 经验丰富的全球站点可靠性工程 (SRE) 团队全天候提供服务，并主动管理集群生命周期、基础设施配置、扩展、维护、安全修补和与 RHACS 云服务托管组件相关的事件响应。Red Hat SRE 团队负责管理 RHACS 云服务控制平面的高可用性、正常运行时间、备份、恢复和安全性。RHACS 云服务提供 99.95% 的可用性 SLA 和全天候的 Red Hat SRE 电话或聊天支持。

您负责产品的用途，包括实施策略、漏洞管理以及在您的 OpenShift Container Platform 环境中部署受保护集群组件。Red Hat SRE 团队根据前面提到的合规性框架管理包含租户数据的控制平面，包括：

所有 Red Hat SRE 和开发人员都接受严格的安全开发生命周期培训。

有关更多信息，请参阅以下资源：

Red Hat 在构建过程中扫描我们产品中的漏洞，并且我们专门的产品安全团队跟踪和评估新发现的漏洞。Red Hat 信息安全部门定期扫描运行环境中的漏洞。

合格的关键和重要安全公告 (RHSA) 以及紧急和选定的高优先级错误修复公告 (RHBA) 将在可用时发布。所有其他可用的修复程序和合格补丁将通过定期更新发布。所有受关键或重要严重性缺陷影响的 RHACS 云服务软件将在修复程序可用后立即更新。有关解决关键或高优先级问题的更多信息，请参阅 了解 Red Hat 的产品安全事件响应计划。

RHACS 云服务目前没有任何外部安全认证或证明。

红帽信息风险和安全团队已获得 ISO 27001:2013 信息安全管理体系 (ISMS) 认证。

RHACS 云服务支持与注册表、CI 系统、通知系统、ServiceNow 和 Jira 等工作流系统以及安全信息和事件管理 (SIEM) 平台集成。有关支持的集成的更多信息，请参阅集成文档。可以使用 API 或通用 Webhook 实现自定义集成。

RHACS 云服务使用基于证书的架构 (mTLS) 对客户站点和红帽之间所有传输中的流量进行身份验证和端到端加密。它不需要 VPN。不支持 IP 白名单。数据传输使用 mTLS 加密。不支持文件传输，包括安全 FTP。

RHACS 云服务部署在 Red Hat Enterprise Linux CoreOS (RHCOS) 上。RHCOS 中的用户空间是只读的。此外，所有 RHACS 云服务实例都在运行时由 RHACS 监控。红帽对 Windows 和 Mac 平台使用商业级的企业级防病毒解决方案，该解决方案是集中管理和记录的。基于 Linux 的平台上的防病毒解决方案并非红帽战略的一部分，因为它们可能会引入额外的漏洞。相反，我们加强并依赖内置工具（例如 SELinux）来保护平台。

红帽使用 SentinelOne 和 osquery 进行单个端点安全，并在厂商提供更新时进行更新。

所有第三方 JavaScript 库都在构建镜像中下载并包含，并在发布前扫描漏洞。

红帽遵循安全的开发生命周期实践。红帽产品安全实践尽可能与开放式 Web 应用程序安全项目 (OWASP) 和 ISO12207:2017 保持一致。红帽涵盖 OWASP 项目建议以及其他安全软件开发实践，以提高我们产品的整体安全态势。OWASP 项目分析包含在红帽的自动化扫描、安全测试和威胁建模中，因为 OWASP 项目是基于选定的 CWE 弱点构建的。红帽监控产品中的弱点，以在漏洞被利用并成为漏洞之前解决问题。

有关更多信息，请参阅以下资源：

应用程序定期扫描，产品的容器扫描结果公开可用。例如，在红帽生态系统目录网站上，您可以选择一个组件镜像，例如 `rhacs-main`，然后单击“安全”选项卡以查看健康指数和安全更新的状态。

作为红帽策略的一部分，我们会为我们依赖的任何即将结束生命周期的第三方组件发布支持策略和维护计划。

红帽已发布核心红帽产品的软件物料清单 (SBOM) 文件。SBOM 是一个机器可读的、全面的软件组件和依赖项清单（清单），包含许可证和来源信息。SBOM 文件有助于建立对软件应用程序和库集中的内容进行采购和审计的审查。结合漏洞可利用性交换 (VEX)，SBOM 可以帮助组织解决其漏洞风险评估流程。它们共同提供有关潜在风险可能存在的位置（包含易受攻击的构件的位置以及此构件与组件或产品之间的相关性）及其对已知漏洞或漏洞的当前状态的信息。

红帽与其他供应商一起，正在努力定义发布可与通用安全咨询框架 (CSAF)-VEX 文件关联的有用 SBOM 的具体要求，并告知消费者和合作伙伴如何使用这些数据。目前，红帽发布的 SBOM 文件（包括 RHACS 云服务的 SBOM）被认为是供客户测试的测试版，可在https://access.redhat.com/security/data/sbom/beta/spdx/获取。

有关红帽安全数据的更多详细信息，请参阅红帽安全数据的未来。

红帽在提供订阅支持服务时使用以下第三方提供商

使用红帽混合云控制台创建中央实例时，集群管理员的身份验证会在流程中配置。客户必须管理其集成解决方案中对中央实例的所有访问。有关可用身份验证方法的更多信息，请参阅了解身份验证提供商。

RHACS 云服务的默认身份提供商是红帽单点登录 (SSO)。设置授权规则以向创建 RHACS 云服务的用户以及在红帽 SSO 中被标记为组织管理员的用户提供管理员访问权限。默认情况下，RHACS 云服务的 `admin` 登录被禁用，只能由 SRE 临时启用。有关使用红帽 SSO 进行身份验证的更多信息，请参阅ACS 控制台的默认访问权限。

红帽的密码策略要求使用复杂密码。密码必须至少包含 14 个字符，并且至少包含以下三类字符

大多数系统需要双因素身份验证。

红帽遵循NIST 指南中规定的最佳密码实践。

远程支持和故障排除的访问权限通过实施以下准则严格控制

我们的客户支持团队提供Bomgar作为远程访问解决方案来进行故障排除。Bomgar会话是可选的，必须由客户发起，并且可以进行监控和控制。

为防止信息泄露，日志通过我们的安全信息和事件管理 (SIEM) 应用程序Splunk传输到SRE。

为了保护我们的数据和客户数据免受盗窃或破坏的风险，Red Hat采用了以下方法：

数据在传输中和静态时使用强大的数据加密进行加密，尽可能遵循NIST指南和联邦信息处理标准 (FIPS)。这包括备份系统。

RHACS云服务使用AWS管理的密钥管理服务 (KMS) 密钥对Amazon Relational Database Service (RDS) 数据库中的静态数据进行加密。应用程序和数据库之间以及系统之间的数据交换都在传输过程中进行加密。

服务指标仅限内部使用。Red Hat以商定的级别提供和维护服务。只有授权的Red Hat人员才能访问服务指标。有关更多信息，请参阅产品附录4 Red Hat在线服务。

核心使用能力指标可通过Subscription Watch或订阅页面获得。

Red Hat高级集群安全云服务 (RHACS云服务) 所有组件的系统日志均为内部日志，仅Red Hat人员可以访问。Red Hat不向用户提供组件日志访问权限。有关更多信息，请参阅产品附录4 Red Hat在线服务。

RHACS云服务的灾难恢复策略包括数据库和任何自定义项的备份。这同样适用于存储在中央数据库中的客户数据。恢复时间取决于设备数量和数据库大小；但是，由于设备可以集群化和分布式部署，因此可以通过适当的架构规划来减少RTO。

所有快照均使用相应的云提供商快照API创建，加密后上传到安全的对象存储，对于Amazon Web Services (AWS)，则为S3存储桶。

灾难恢复计划至少每年演练一次。已经制定了业务连续性管理标准和指南，以便在整个组织中始终如一地遵循BC生命周期。此策略包括至少每年或在功能计划发生重大变化时进行测试的要求。在任何计划演练或激活后，都需要进行审查会议，并根据需要更新计划。

Red Hat拥有发电机备份系统。我们的IT生产系统托管在3级数据中心设施中，该设施定期进行测试以确保冗余功能正常运行。它们每年进行审核以验证合规性。