了解 OpenShift Dedicated 的流程和安全性

集群通知旨在让您了解集群的健康状况以及影响它的重大事件。

大多数集群通知会自动生成并发送，以确保您能立即了解集群状态的问题或重要更改。

在某些情况下，Red Hat站点可靠性工程 (SRE) 会创建并发送集群通知，以针对复杂问题提供更多上下文和指导。

对于低影响事件、低风险安全更新、例行操作和维护，或 SRE 快速解决的轻微、短暂的问题，不会发送集群通知。

当出现以下情况时，Red Hat 服务会自动发送通知：

当出现以下情况时，SRE 会创建并发送通知：

Red Hat 站点可靠性工程师 (SRE) 为所有 OpenShift Dedicated 集群组件、SRE 服务和底层云提供商帐户维护一个集中式监控和警报系统。平台审计日志安全地转发到集中式 SIEM（安全信息和事件监控）系统，这些日志可能会触发对 SRE 团队的已配置警报，并且还会进行人工审查。审计日志在 SIEM 中保留一年。在删除集群时，不会删除给定集群的审计日志。

事件是指导致一项或多项 Red Hat 服务性能下降或中断的事件。事件可以由客户或客户体验和参与 (CEE) 成员通过支持案例发起，也可以由集中式监控和警报系统或 SRE 团队成员直接发起。

根据对服务和客户的影响，事件将按严重性进行分类。

Red Hat 管理新事件的一般工作流程：

所有 OpenShift Dedicated 集群都使用云提供商快照进行备份。值得注意的是，这并不包括存储在持久卷 (PV) 上的客户数据。所有快照均使用相应的云提供商快照 API 拍摄，并上传到与集群位于同一帐户中的安全对象存储桶（AWS 中为 S3，Google Cloud 中为 GCS）。

评估和管理集群容量是 Red Hat 和客户共同承担的责任。Red Hat SRE 负责集群上所有控制平面和基础设施节点的容量。

Red Hat SRE 还在升级期间以及响应集群警报时评估集群容量。集群升级对容量的影响会在升级测试过程中进行评估，以确保新添加到集群的内容不会对容量产生负面影响。在集群升级期间，会添加额外的工作节点，以确保在升级过程中保持总集群容量。

SRE 员工的容量评估也会在集群发出警报后发生，一旦超过某个时间段的使用阈值，就会发出此类警报。此类警报也可能导致向客户发出通知。

您可以使用自助服务功能（例如集群部署、工作节点扩展或集群删除）来启动更改。

更改历史记录记录在 OpenShift 集群管理器“概述”选项卡中的“集群历史记录”部分中，您可以查看该历史记录。更改历史记录包括但不限于以下更改的日志：

您可以通过避免在 OpenShift 集群管理器中更改以下组件来实现维护排除：

Red Hat 站点可靠性工程 (SRE) 使用 GitOps 工作流和完全自动化的 CI/CD 管道来管理 OpenShift Dedicated 的基础架构、代码和配置。此流程确保 Red Hat 可以安全地持续引入服务改进，而不会对客户产生负面影响。

每个提议的更改在签入后都会立即进行一系列自动验证。然后将更改部署到暂存环境中，在该环境中进行自动集成测试。最后，将更改部署到生产环境。每个步骤都是完全自动化的。

授权的 SRE 审核员必须批准每个步骤的推进。审核员不能与提出更改的个人相同。所有更改和批准都作为 GitOps 工作流的一部分进行完全审核。

某些更改会使用功能标志逐步发布到生产环境，以控制新功能对指定集群或客户的可用性。

OpenShift Container Platform 软件和底层的不可变 Red Hat Enterprise Linux CoreOS (RHCOS) 操作系统映像会定期通过 z 流升级修复错误和漏洞。在 OpenShift Container Platform 文档中阅读有关 RHCOS 架构 的更多信息。

Red Hat 不会自动升级您的集群。您可以使用 OpenShift Cluster Manager Web 控制台定期（定期升级）或仅一次（单个升级）安排升级集群。只有在集群受到严重影响的 CVE 影响时，Red Hat 可能会强制将集群升级到新的 z 流版本。您可以在 OpenShift Cluster Manager Web 控制台中查看所有集群升级事件的历史记录。有关版本的更多信息，请参见 生命周期策略。

Red Hat 定义并遵循数据分类标准，以确定数据的敏感性，并突出显示在收集、使用、传输、存储和处理数据时对其机密性和完整性的固有风险。客户拥有的数据被归类为最高级别的敏感性和处理要求。

OpenShift Dedicated 使用云提供商服务，例如 AWS 密钥管理服务 (KMS) 和 Google Cloud KMS，以帮助安全地管理持久性数据的加密密钥。这些密钥用于加密所有控制平面、基础架构和工作节点根卷。客户可以在安装时指定自己的 KMS 密钥来加密根卷。持久卷 (PV) 也使用 KMS 进行密钥管理。客户可以通过创建一个引用 KMS 密钥 Amazon 资源名称 (ARN) 或 ID 的新StorageClass来指定自己的 KMS 密钥来加密 PV。

当客户删除其 OpenShift Dedicated 集群时，所有集群数据都将永久删除，包括控制平面数据卷和客户应用程序数据卷，例如持久卷 (PV)。

Red Hat 使用行业标准工具定期对 OpenShift Dedicated 进行漏洞扫描。已识别的漏洞将根据严重性基于时间线跟踪其修复。漏洞扫描和修复活动已记录在案，供第三方评估人员在合规性认证审核过程中进行验证。

Red Hat 定期对 OpenShift Dedicated 进行渗透测试。测试由使用行业标准工具和最佳实践的独立内部团队执行。

发现的任何问题都将根据严重性进行优先排序。发现属于开源项目的任何问题都将与社区共享以进行解决。

OpenShift Dedicated 遵循安全和控制的常见行业最佳实践。认证在以下表格中概述。