支持的合规性配置文件 - 合规性操作符 | 安全与合规 | OpenShift Container Platform 4.17

合规性配置文件
其他资源

合规性操作符 (CO) 安装包含多个可用的配置文件。虽然您可以使用以下配置文件评估集群中的差距，但仅使用这些配置文件并不表示或保证符合特定配置文件，也不构成审计。

为了符合或通过这些不同标准的认证，您需要聘请授权的审计员（例如合格安全评估员 (QSA)、联合授权委员会 (JAB) 或其他业界认可的监管机构）来评估您的环境。您需要与授权的审计员合作才能达到合规性标准。

有关所有 Red Hat 产品合规性支持的更多信息，请参阅产品合规性。

合规性操作符可能会在某些托管平台（例如 OpenShift Dedicated 和 Azure Red Hat OpenShift）上报告不正确的结果。有关更多信息，请参阅 Red Hat 知识库解决方案 #6983418。

合规性配置文件

合规性操作符提供配置文件以满足行业标准基准。

下表反映了合规性操作符中最新的可用配置文件。

CIS 合规性配置文件

表 1. 支持的 CIS 合规性配置文件
配置文件	配置文件标题	应用	行业合规性基准	支持的架构	支持的平台
ocp4-cis ^[1]	CIS Red Hat OpenShift Container Platform 基准测试 v1.5.0	平台	CIS Benchmarks ™ ^[1]	`x86_64` `ppc64le` `s390x`
ocp4-cis-1-4 ^[3]	CIS Red Hat OpenShift Container Platform 基准测试 v1.4.0	平台	CIS Benchmarks ™ ^[4]	`x86_64` `ppc64le` `s390x`
ocp4-cis-1-5	CIS Red Hat OpenShift Container Platform 基准测试 v1.5.0	平台	CIS Benchmarks ™ ^[4]	`x86_64` `ppc64le` `s390x`
ocp4-cis-node ^[1]	CIS Red Hat OpenShift Container Platform 基准测试 v1.5.0	节点^[2]	CIS Benchmarks ™ ^[4]	`x86_64` `ppc64le` `s390x`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-cis-node-1-4 ^[3]	CIS Red Hat OpenShift Container Platform 基准测试 v1.4.0	节点^[2]	CIS Benchmarks ™ ^[4]	`x86_64` `ppc64le` `s390x`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-cis-node-1-5	CIS Red Hat OpenShift Container Platform 基准测试 v1.5.0	节点^[2]	CIS Benchmarks ™ ^[4]	`x86_64` `ppc64le` `s390x`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)

ocp4-cis 和 ocp4-cis-node 配置文件会在合规性操作符中提供 CIS 基准测试的最新版本。如果您想遵循特定版本（例如 CIS v1.4.0），请使用 ocp4-cis-1-4 和 ocp4-cis-node-1-4 配置文件。
节点配置文件必须与相关的平台配置文件一起使用。有关更多信息，请参阅合规性操作符配置文件类型。
CIS v1.4.0 已被 CIS v1.5.0 取代。建议将最新配置文件应用于您的环境。
要查找 CIS OpenShift Container Platform v4 基准测试，请访问 CIS Benchmarks 并单击“下载最新 CIS 基准测试”，然后您可以注册下载基准测试。

Essential Eight 合规性配置文件

表 2. 支持的 Essential Eight 合规性配置文件
配置文件	配置文件标题	应用	行业合规性基准	支持的架构	支持的平台
ocp4-e8	澳大利亚网络安全中心 (ACSC) Essential Eight	平台	ACSC 加固 Linux 工作站和服务器	`x86_64`
rhcos4-e8	澳大利亚网络安全中心 (ACSC) Essential Eight	节点	ACSC 加固 Linux 工作站和服务器	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)

FedRAMP 高级合规性配置文件

表 3. 支持的 FedRAMP 高级合规性配置文件
配置文件	配置文件标题	应用	行业合规性基准	支持的架构	支持的平台
ocp4-high ^[1]	适用于 Red Hat OpenShift 的 NIST 800-53 高影响基准 - 平台级别	平台	NIST SP-800-53 版本搜索	`x86_64`
ocp4-high-node ^[1]	适用于 Red Hat OpenShift 的 NIST 800-53 高影响基准 - 节点级别	节点^[2]	NIST SP-800-53 版本搜索	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-high-node-rev-4	适用于 Red Hat OpenShift 的 NIST 800-53 高影响基准 - 节点级别	节点^[2]	NIST SP-800-53 版本搜索	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-high-rev-4	适用于 Red Hat OpenShift 的 NIST 800-53 高影响基准 - 平台级别	平台	NIST SP-800-53 版本搜索	`x86_64`
rhcos4-high ^[1]	适用于 Red Hat Enterprise Linux CoreOS 的 NIST 800-53 高影响基准	节点	NIST SP-800-53 版本搜索	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
rhcos4-high-rev-4	适用于 Red Hat Enterprise Linux CoreOS 的 NIST 800-53 高影响基准	节点	NIST SP-800-53 版本搜索	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)

ocp4-high、ocp4-high-node 和 rhcos4-high 配置文件会在合规性操作符中提供 FedRAMP 高级标准的最新版本。如果您想遵循特定版本（例如 FedRAMP 高级 R4），请使用 ocp4-high-rev-4 和 ocp4-high-node-rev-4 配置文件。
节点配置文件必须与相关的平台配置文件一起使用。有关更多信息，请参阅合规性操作符配置文件类型。

FedRAMP 中级合规性配置文件

表 4. 支持的 FedRAMP 中级合规性配置文件
配置文件	配置文件标题	应用	行业合规性基准	支持的架构	支持的平台
ocp4-moderate ^[1]	适用于 Red Hat OpenShift 的 NIST 800-53 中等影响基准 - 平台级别	平台	NIST SP-800-53 版本搜索	`x86_64` `ppc64le` `s390x`
ocp4-moderate-node ^[1]	适用于 Red Hat OpenShift 的 NIST 800-53 中等影响基准 - 节点级别	节点^[2]	NIST SP-800-53 版本搜索	`x86_64` `ppc64le` `s390x`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-moderate-node-rev-4	适用于 Red Hat OpenShift 的 NIST 800-53 中等影响基准 - 节点级别	节点^[2]	NIST SP-800-53 版本搜索	`x86_64` `ppc64le` `s390x`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-moderate-rev-4	适用于 Red Hat OpenShift 的 NIST 800-53 中等影响基准 - 平台级别	平台	NIST SP-800-53 版本搜索	`x86_64` `ppc64le` `s390x`
rhcos4-moderate ^[1]	适用于 Red Hat Enterprise Linux CoreOS 的 NIST 800-53 中等影响基准	节点	NIST SP-800-53 版本搜索	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
rhcos4-moderate-rev-4	适用于 Red Hat Enterprise Linux CoreOS 的 NIST 800-53 中等影响基准	节点	NIST SP-800-53 版本搜索	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)

ocp4-moderate、ocp4-moderate-node 和 rhcos4-moderate 配置文件会在合规性操作符中提供 FedRAMP 中级标准的最新版本。如果您想遵循特定版本（例如 FedRAMP 中级 R4），请使用 ocp4-moderate-rev-4 和 ocp4-moderate-node-rev-4 配置文件。
节点配置文件必须与相关的平台配置文件一起使用。有关更多信息，请参阅合规性操作符配置文件类型。

NERC-CIP 合规性配置文件

表 5. 支持的 NERC-CIP 合规性配置文件
配置文件	配置文件标题	应用	行业合规性基准	支持的架构	支持的平台
ocp4-nerc-cip	适用于 OpenShift Container Platform 的北美电力可靠性公司 (NERC) 关键基础设施保护 (CIP) 网络安全标准配置文件 - 平台级别	平台	NERC CIP 标准	`x86_64`
ocp4-nerc-cip-node	适用于 OpenShift Container Platform 的北美电力可靠性公司 (NERC) 关键基础设施保护 (CIP) 网络安全标准配置文件 - 节点级别	节点^[1]	NERC CIP 标准	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
rhcos4-nerc-cip	适用于 Red Hat Enterprise Linux CoreOS 的北美电力可靠性公司 (NERC) 关键基础设施保护 (CIP) 网络安全标准配置文件	节点	NERC CIP 标准	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)

节点配置文件必须与相关的平台配置文件一起使用。有关更多信息，请参阅合规性操作符配置文件类型。

PCI-DSS 合规性配置文件

表 6. 支持的 PCI-DSS 合规性配置文件
配置文件	配置文件标题	应用	行业合规性基准	支持的架构	支持的平台
ocp4-pci-dss ^[1]	适用于 OpenShift Container Platform 4 的 PCI-DSS v4 控制基准	平台	PCI 安全标准 ® 理事会文档库	`x86_64`
ocp4-pci-dss-3-2 ^[3]	适用于 OpenShift Container Platform 4 的 PCI-DSS v3.2.1 控制基准	平台	PCI 安全标准 ® 理事会文档库	`x86_64`
ocp4-pci-dss-4-0	适用于 OpenShift Container Platform 4 的 PCI-DSS v4 控制基准	平台	PCI 安全标准 ® 理事会文档库	`x86_64`
ocp4-pci-dss-node ^[1]	适用于 OpenShift Container Platform 4 的 PCI-DSS v4 控制基准	节点^[2]	PCI 安全标准 ® 理事会文档库	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-pci-dss-node-3-2 ^[3]	适用于 OpenShift Container Platform 4 的 PCI-DSS v3.2.1 控制基准	节点^[2]	PCI 安全标准 ® 理事会文档库	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-pci-dss-node-4-0	适用于 OpenShift Container Platform 4 的 PCI-DSS v4 控制基准	节点^[2]	PCI 安全标准 ® 理事会文档库	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)

ocp4-pci-dss 和 ocp4-pci-dss-node 配置文件会在合规性操作符中提供 PCI-DSS 标准的最新版本。如果您想遵循特定版本（例如 PCI-DSS v3.2.1），请使用 ocp4-pci-dss-3-2 和 ocp4-pci-dss-node-3-2 配置文件。
节点配置文件必须与相关的平台配置文件一起使用。有关更多信息，请参阅合规性操作符配置文件类型。
PCI-DSS v3.2.1 已被 PCI-DSS v4 取代。建议将最新配置文件应用于您的环境。

STIG 合规性配置文件

表 7. 支持的 STIG 合规性配置文件
配置文件	配置文件标题	应用	行业合规性基准	支持的架构	支持的平台
ocp4-stig ^[1]	适用于 Red Hat Openshift 的国防信息系统机构安全技术实施指南 (DISA STIG)	平台	DISA-STIG	`x86_64`
ocp4-stig-node ^[1]	适用于 Red Hat Openshift 的国防信息系统机构安全技术实施指南 (DISA STIG)	节点^[2]	DISA-STIG	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-stig-node-v1r1 ^[3]	适用于 Red Hat Openshift V1R1 的国防信息系统机构安全技术实施指南 (DISA STIG)	节点^[2]	DISA-STIG	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-stig-node-v2r1	适用于 Red Hat Openshift V2R1 的国防信息系统机构安全技术实施指南 (DISA STIG)	节点^[2]	DISA-STIG	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
ocp4-stig-v1r1 ^[3]	适用于 Red Hat Openshift V1R1 的国防信息系统机构安全技术实施指南 (DISA STIG)	平台	DISA-STIG	`x86_64`
ocp4-stig-v2r1	适用于 Red Hat Openshift V2R1 的国防信息系统机构安全技术实施指南 (DISA STIG)	平台	DISA-STIG	`x86_64`
rhcos4-stig	适用于 Red Hat Openshift 的国防信息系统机构安全技术实施指南 (DISA STIG)	节点	DISA-STIG	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
rhcos4-stig-v1r1 ^[3]	适用于 Red Hat Openshift V1R1 的国防信息系统机构安全技术实施指南 (DISA STIG)	节点	DISA-STIG ^[3]	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)
rhcos4-stig-v2r1	适用于 Red Hat Openshift V2R1 的国防信息系统机构安全技术实施指南 (DISA STIG)	节点	DISA-STIG	`x86_64`	带有托管控制平面的 AWS 上的 Red Hat OpenShift 服务 (ROSA HCP)

ocp4-stig、ocp4-stig-node 和 rhcos4-stig 配置文件会随着 Compliance Operator 中 DISA-STIG 基准的更新而保持最新版本。如果您想遵守特定版本，例如 DISA-STIG V2R1，请使用 ocp4-stig-v2r1 和 ocp4-stig-node-v2r1 配置文件。
节点配置文件必须与相关的平台配置文件一起使用。有关更多信息，请参阅合规性操作符配置文件类型。
DISA-STIG V1R1 已被 DISA-STIG V2R1 取代。建议您将最新配置文件应用于您的环境。

关于扩展合规性配置文件

一些合规性配置文件的控制措施需要遵循行业最佳实践，导致某些配置文件扩展了其他配置文件。将互联网安全中心 (CIS) 的最佳实践与国家标准与技术研究院 (NIST) 的安全框架相结合，可建立通往安全合规环境的路径。

例如，NIST 高影响和中等影响配置文件扩展了 CIS 配置文件以实现合规性。因此，扩展的合规性配置文件无需在单个集群中同时运行这两个配置文件。

表 8. 配置文件扩展
配置文件	扩展
ocp4-pci-dss	ocp4-cis
ocp4-pci-dss-node	ocp4-cis-node
ocp4-high	ocp4-cis
ocp4-high-node	ocp4-cis-node
ocp4-moderate	ocp4-cis
ocp4-moderate-node	ocp4-cis-node
ocp4-nerc-cip	ocp4-moderate
ocp4-nerc-cip-node	ocp4-moderate-node

附加资源

Compliance Operator 配置文件类型