SRE 和服务账户访问

要查看可用子处理器的列表，请访问 Red Hat 客户门户上的Red Hat 子处理器列表。

SRE 通过代理访问 OpenShift Dedicated 集群。当 SRE 登录时，代理会在 OpenShift Dedicated 集群中为 SRE 铸造一个服务帐户。由于没有为 OpenShift Dedicated 集群配置身份提供程序，因此 SRE 通过运行本地 Web 控制台容器来访问代理。SRE 不会直接访问集群 Web 控制台。SRE 必须以单个用户身份进行身份验证以确保可审计性。所有身份验证尝试都记录到安全信息和事件管理 (SIEM) 系统。

Red Hat SRE 在访问 OpenShift Dedicated 和公共云提供商组件时遵循最小权限原则。SRE 手动访问主要分为四类：

这些访问类型中的每一个都具有不同级别的组件访问权限。

Red Hat 人员在日常 OpenShift Dedicated 操作过程中不会访问云基础设施帐户。出于紧急故障排除的目的，Red Hat SRE 拥有明确定义且可审核的访问云基础设施帐户的流程。

在 AWS 中，SRE 使用 AWS 安全令牌服务 (STS) 为BYOCAdminAccess用户生成短期 AWS 访问令牌。对 STS 令牌的访问会被审核日志记录，并可追溯到单个用户。BYOCAdminAccess附加了AdministratorAccess IAM策略。

在 Google Cloud 中，SRE 在针对 Red Hat SAML 身份提供商 (IDP) 进行身份验证后访问资源。IDP 授权具有生存时间 (TTL) 过期时间的令牌。令牌的发放可由 Red Hat 公司 IT 部门进行审核，并与单个用户关联。

Red Hat CEE 团队成员通常对集群的部分内容具有只读访问权限。具体来说，CEE 对核心和产品命名空间的访问权限有限，并且无法访问客户命名空间。

客户访问权限仅限于客户创建的命名空间和客户管理员角色使用 RBAC 授予的权限。通常不允许访问底层基础设施或产品命名空间，除非具有cluster-admin访问权限。有关客户访问和身份验证的更多信息，请参阅文档的“了解身份验证”部分。

新的 SRE 用户访问需要管理批准。分离或转移的 SRE 帐户将通过自动化流程删除为授权用户。此外，SRE 定期进行访问审查，包括管理层签署授权用户列表。