OpenShift 文档正在迁移，很快将只能在 docs.redhat.com（所有 Red Hat 产品文档的中心）访问。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

AWS 上 Red Hat OpenShift 服务的责任概述

编辑

本文档概述了 AWS 上 Red Hat OpenShift 服务 (ROSA) 托管服务的 Red Hat、Amazon Web Services (AWS) 和客户的责任。

编辑

AWS 上 Red Hat OpenShift 服务的共享责任

虽然 Red Hat 和 Amazon Web Services (AWS) 管理 AWS 上的 Red Hat OpenShift 服务，但客户也承担某些责任。AWS 上的 Red Hat OpenShift 服务是远程访问的，托管在公共云资源上，创建在客户拥有的 AWS 账户中，并且其底层平台和数据安全由 Red Hat 拥有。

如果将cluster-admin角色添加到用户，请参阅Red Hat 企业协议附录 4（在线订阅服务）中的责任和排除说明。
资源 事件和运营管理 变更管理 访问和身份授权 安全和法规遵从性 灾难恢复

客户数据

客户

客户

客户

客户

客户

客户应用程序

客户

客户

客户

客户

客户

开发者服务

客户

客户

客户

客户

客户

平台监控

Red Hat

Red Hat

Red Hat

Red Hat

Red Hat

日志记录

Red Hat

Red Hat 和客户

Red Hat 和客户

Red Hat 和客户

Red Hat

应用程序网络

Red Hat 和客户

Red Hat 和客户

Red Hat 和客户

Red Hat

Red Hat

集群网络

Red Hat [1]

Red Hat 和客户 [2]

Red Hat 和客户

Red Hat [1]

Red Hat [1]

虚拟网络管理

Red Hat 和客户

Red Hat 和客户

Red Hat 和客户

Red Hat 和客户

Red Hat 和客户

虚拟计算管理（控制平面、基础设施和工作节点）

Red Hat

Red Hat

Red Hat

Red Hat

Red Hat

集群版本

Red Hat

Red Hat 和客户

Red Hat

Red Hat

Red Hat

容量管理

Red Hat

Red Hat 和客户

Red Hat

Red Hat

Red Hat

虚拟存储管理

Red Hat

Red Hat

Red Hat

Red Hat

Red Hat

AWS 软件（公共 AWS 服务）

AWS

AWS

AWS

AWS

AWS

硬件/AWS 全球基础设施

AWS

AWS

AWS

AWS

AWS

  1. 如果客户选择使用自己的 CNI 插件，则责任将转移给客户。

  2. 在配置集群之前，客户必须配置其防火墙以允许访问所需的 OpenShift 和 AWS 域和端口。有关更多信息，请参见“AWS 防火墙先决条件”。

其他资源
编辑

按区域划分的共享责任任务

Red Hat、AWS 和客户共同负责监控、维护和 AWS 上 Red Hat OpenShift 服务 (ROSA) 集群的整体运行状况。本文档说明了如下表所示每个列出资源的责任划分。

编辑

查看和处理集群通知

集群通知是关于集群状态、运行状况或性能的消息。

集群通知是 Red Hat 站点可靠性工程 (SRE) 与您沟通托管集群运行状况的主要方式。SRE 还可以使用集群通知提示您执行操作，以解决或防止集群问题。

集群所有者和管理员必须定期查看和处理集群通知，以确保集群保持健康和受支持。

您可以在 Red Hat Hybrid Cloud Console 中的集群历史选项卡中查看集群通知。默认情况下，只有集群所有者会收到集群通知电子邮件。如果其他用户需要接收集群通知电子邮件，请将每个用户添加为集群的通知联系人。

编辑

集群通知策略

集群通知旨在让您了解集群的运行状况以及影响它的重大事件。

大多数集群通知都是自动生成并发送的，以确保您能立即了解问题或集群状态的重要更改。

在某些情况下，Red Hat 站点可靠性工程 (SRE) 会创建和发送集群通知，以针对复杂问题提供更多上下文和指导。

对于低影响事件、低风险安全更新、例行操作和维护，或 SRE 快速解决的小型、短暂问题，不会发送集群通知。

Red Hat 服务会在以下情况下自动发送通知：

  • 远程运行状况监控或环境验证检查检测到集群中的问题，例如，当工作节点磁盘空间不足时。

  • 集群生命周期中的重大事件会在以下情况下发生，例如：计划的维护或升级开始，或集群操作受到事件影响，但不需要客户干预。

  • 集群管理发生重大更改，例如：集群所有权或管理控制权从一个用户转移到另一个用户。

  • 您的集群订阅发生更改或更新，例如：Red Hat 对订阅条款进行更新或为您的集群提供新功能。

SRE 在以下情况下创建并发送通知：

  • 事件导致性能下降或中断，影响集群的可用性或性能，例如：您的云提供商发生区域性中断。SRE 会发送后续通知，告知您事件解决进度，并在事件解决后发出通知。

  • 在您的集群上检测到安全漏洞、安全漏洞或异常活动。

  • Red Hat 检测到您所做的更改正在创建或可能导致集群不稳定。

  • Red Hat 检测到您的工作负载正在导致集群性能下降或不稳定。

事件和运营管理

Red Hat 负责监督默认平台网络所需的组件。AWS 负责保护运行 AWS 云中所有服务的硬件基础设施。客户负责客户应用程序数据以及客户为集群网络或虚拟网络配置的任何自定义网络的事件和运营管理。

资源 服务职责 客户职责

应用程序网络

Red Hat

  • 监控原生 OpenShift 路由器服务并响应警报。

  • 监控应用程序路由及其后端端点的运行状况。

  • 向 Red Hat 和 AWS 报告中断。

集群网络

Red Hat

  • 监控、告警和处理与集群 DNS、集群组件之间的网络插件连接以及默认 Ingress Controller 相关的事件。

  • 监控和处理与可选 Ingress Controller、通过 OperatorHub 安装的其他 Operators 以及替换默认 OpenShift CNI 插件的网络插件相关的事件。

虚拟网络管理

Red Hat

  • 监控 AWS 负载均衡器、Amazon VPC 子网和默认平台网络所需的 AWS 服务组件。响应警报。

  • 监控 AWS 负载均衡器端点的运行状况。

  • 监控通过 Amazon VPC 对等连接、AWS VPN 连接或 AWS Direct Connect 可选配置的网络流量，以查找潜在问题或安全威胁。

虚拟存储管理

Red Hat

  • 监控附加到集群节点的 Amazon EBS 卷和 ROSA 服务内置容器镜像注册表使用的 Amazon S3 存储桶。响应警报。

  • 监控应用程序数据的运行状况。

  • 如果使用客户管理的 AWS KMS 密钥，请创建和控制 Amazon EBS 加密的密钥生命周期和密钥策略。

平台监控

Red Hat

  • 为所有 ROSA 集群组件、站点可靠性工程师 (SRE) 服务和底层 AWS 帐户维护一个集中式监控和警报系统。

事件管理

Red Hat

  • 提出和管理已知事件。

  • 与客户共享根本原因分析 (RCA) 草案。

  • 通过支持案例提出已知事件。

基础设施和数据弹性

Red Hat

  • 对于使用 STS 的 ROSA 集群，没有 Red Hat 提供的备份方法。

  • Red Hat 不承诺任何恢复点目标 (RPO) 或恢复时间目标 (RTO)。

  • 定期备份数据并部署具有遵循 Kubernetes 最佳实践的工作负载的多 AZ 集群，以确保区域内的高可用性。

  • 如果整个云区域不可用，请在其他区域安装新的集群并使用备份数据恢复应用程序。

集群容量

Red Hat

  • 管理集群上所有控制平面和基础设施节点的容量。

  • 在升级期间和响应集群警报时评估集群容量。

AWS 软件（公共 AWS 服务）

AWS

  • 监控客户帐户中 AWS 资源的运行状况。

  • 使用 IAM 工具向客户帐户中的 AWS 资源应用适当的权限。

硬件/AWS 全球基础设施

AWS

  • 配置、管理和监控客户应用程序和数据，以确保正确执行应用程序和数据安全控制。
编辑

平台监控

平台审核日志安全地转发到集中的安全信息和事件监控 (SIEM) 系统，在该系统中，它们可能会触发向 SRE 团队配置的警报，并且还会进行人工审查。审核日志在 SIEM 系统中保留一年。在删除集群时，不会删除给定集群的审核日志。

事件管理

事件是指导致一个或多个 Red Hat 服务性能下降或中断的事件。客户或客户体验和参与 (CEE) 成员可以通过支持案例、通过集中式监控和警报系统或直接由 SRE 团队成员提出事件。

根据对服务和客户的影响，事件会根据严重性进行分类。

在管理新事件时，Red Hat 使用以下常规工作流程：

  1. 首先，SRE 响应者会收到有关新事件的警报，并开始初步调查。

  2. 初步调查后，事件将分配给事件负责人，后者协调恢复工作。

  3. 事件负责人管理所有与恢复相关的沟通和协调，包括任何相关的通知和支持案例更新。

  4. 事件已恢复。

  5. 事件已记录，并在事件发生后 5 个工作日内进行根本原因分析 (RCA)。

  6. 事件发生后 7 个工作日内，将与客户共享 RCA 草案文档。

Red Hat 还协助通过支持案例提出的客户事件。Red Hat 可以协助的活动包括但不限于：

  • 取证收集，包括隔离虚拟计算

  • 指导计算镜像收集

  • 提供收集的审核日志

集群容量

集群升级对容量的影响会在升级测试过程中进行评估，以确保新添加到集群的内容不会对容量产生负面影响。在集群升级期间，会添加其他工作节点以确保在升级过程中维护总集群容量。

Red Hat SRE 团队还会根据集群的告警进行容量评估，这些告警会在超过使用阈值一段时间后触发。此类告警也可能导致向客户发出通知。

变更管理

本节描述有关集群和配置更改、补丁和发行版的管理策略。

Red Hat 负责启用对客户将控制的集群基础设施和服务的更改，以及维护控制平面节点、基础设施节点和服务以及工作节点的版本。AWS 负责保护运行 AWS 云中所有提供的服务的硬件基础设施。客户负责启动基础设施变更请求，以及在集群上安装和维护可选服务和网络配置，以及对客户数据和客户应用程序的所有更改。

编辑

客户发起的更改

您可以使用自助服务功能（例如集群部署、工作节点扩展或集群删除）来启动更改。

更改历史记录捕获在 OpenShift 集群管理器**概述选项卡**中的**集群历史记录**部分，您可以查看该历史记录。更改历史记录包括但不限于以下更改的日志

  • 添加或删除身份提供商

  • 向 dedicated-admins 组添加或删除用户

  • 扩展集群计算节点

  • 扩展集群负载均衡器

  • 扩展集群持久性存储

  • 升级集群

您可以通过避免在 OpenShift 集群管理器中更改以下组件来实现维护排除

  • 删除集群

  • 添加、修改或删除身份提供商

  • 添加、修改或从提升的组中删除用户

  • 安装或删除附加组件

  • 修改集群网络配置

  • 添加、修改或删除机器池

  • 启用或禁用用户工作负载监控

  • 启动升级

要强制执行维护排除，请确保已禁用机器池自动扩展或自动升级策略。取消维护排除后，根据需要继续启用机器池自动扩展或自动升级策略。

Red Hat 发起的更改

Red Hat 站点可靠性工程 (SRE) 使用 GitOps 工作流和完全自动化的 CI/CD 管道管理 AWS 上的 Red Hat OpenShift Service 的基础设施、代码和配置。此流程确保 Red Hat 能够持续安全地引入服务改进，而不会对客户产生负面影响。

每个提议的更改在签入后都会立即进行一系列自动验证。然后将更改部署到暂存环境，在该环境中它们会进行自动集成测试。最后，更改将部署到生产环境。每个步骤都是完全自动化的。

授权的 SRE 审阅者必须批准进入每个步骤。审阅者不能与提出更改的个人相同。所有更改和批准作为 GitOps 工作流的一部分都是完全可审计的。

一些更改会增量发布到生产环境，使用功能标志来控制新功能对指定集群或客户的可用性。

补丁管理

OpenShift Container Platform 软件和底层的不可变 Red Hat CoreOS (RHCOS) 操作系统映像会在定期 z 流升级中针对错误和漏洞进行修补。在 OpenShift Container Platform 文档中阅读有关RHCOS 架构的更多信息。

发行版管理

Red Hat 不会自动升级您的集群。您可以使用 OpenShift 集群管理器 Web 控制台定期（定期升级）或仅一次（单个升级）安排升级集群。只有当集群受到严重影响的 CVE 影响时，Red Hat 才能强制将集群升级到新的 z 流版本。

由于所需的权限在 y 流版本之间可能会发生变化，因此可能必须在执行升级之前更新策略。因此，您无法在使用 STS 的 ROSA 集群上安排定期升级。

您可以在 OpenShift 集群管理器 Web 控制台中查看所有集群升级事件的历史记录。有关发行版的更多信息，请参阅生命周期策略。

资源 服务职责 客户职责

日志记录

Red Hat

  • 集中聚合和监控平台审计日志。

  • 提供和维护一个日志操作符，以使客户能够为默认应用程序日志部署日志堆栈。

  • 根据客户请求提供审计日志。

  • 在集群上安装可选的默认应用程序日志操作符。

  • 安装、配置和维护任何可选的应用程序日志解决方案，例如日志 sidecar 容器或第三方日志应用程序。

  • 如果客户应用程序产生的应用程序日志大小和频率影响日志堆栈或集群的稳定性，则调整其大小和频率。

  • 通过支持案例请求平台审计日志以研究特定事件。

应用程序网络

Red Hat

  • 设置公共负载均衡器。提供设置私有负载均衡器以及根据需要最多设置一个附加负载均衡器的能力。

  • 设置原生 OpenShift 路由器服务。提供将路由器设置为私有并添加最多一个附加路由器分片的能力。

  • 为默认内部 Pod 流量安装、配置和维护 OpenShift SDN 组件（对于在 4.11 版本之前创建的集群）。

  • 为客户提供管理NetworkPolicy和EgressNetworkPolicy（防火墙）对象的能力。

  • 使用NetworkPolicy对象配置项目和 Pod 网络、Pod 入口和 Pod 出口的非默认 Pod 网络权限。

  • 使用 OpenShift 集群管理器请求用于默认应用程序路由的私有负载均衡器。

  • 使用 OpenShift 集群管理器配置最多一个附加的公共或私有路由器分片和相应的负载均衡器。

  • 请求和配置任何特定服务的附加服务负载均衡器。

  • 配置任何必要的 DNS 转发规则。

集群网络

Red Hat

  • 设置集群管理组件，例如公共或私有服务端点以及与 Amazon VPC 组件的必要集成。

  • 设置工作节点、基础设施节点和控制平面节点之间内部集群通信所需的内部网络组件。

  • 在集群配置之前，配置您的防火墙以授予对所需的 OpenShift 和 AWS 域和端口的访问权限。有关更多信息，请参阅“AWS 防火墙前提条件”。

  • 如果需要，在集群配置时通过 OpenShift 集群管理器提供机器 CIDR、服务 CIDR 和 Pod CIDR 的可选非默认 IP 地址范围。

  • 在集群创建期间或集群创建后，通过 OpenShift 集群管理器请求将 API 服务端点设置为公共或私有。

  • 创建其他 Ingress Controller 以发布其他应用程序路由。

  • 如果未安装默认 OpenShift CNI 插件，则安装、配置和升级可选的 CNI 插件。

虚拟网络管理

Red Hat

  • 设置和配置配置集群所需的 Amazon VPC 组件，例如子网、负载均衡器、互联网网关和 NAT 网关。

  • 为客户提供通过 OpenShift 集群管理器根据需要管理与内部资源的 AWS VPN 连接、Amazon VPC 到 VPC 连接和 AWS Direct Connect 的能力。

  • 使客户能够创建和部署 AWS 负载均衡器以与服务负载均衡器一起使用。

  • 设置和维护可选的 Amazon VPC 组件，例如 Amazon VPC 到 VPC 连接、AWS VPN 连接或 AWS Direct Connect。

  • 请求和配置任何特定服务的附加服务负载均衡器。

虚拟计算管理

Red Hat

  • 设置和配置 ROSA 控制平面和数据平面以使用 Amazon EC2 实例进行集群计算。

  • 监控和管理集群上 Amazon EC2 控制平面和基础设施节点的部署。

  • 通过使用 OpenShift 集群管理器或 ROSA CLI (rosa) 创建机器池来监控和管理 Amazon EC2 工作节点。

  • 管理客户部署的应用程序和应用程序数据的更改。

集群版本

Red Hat

  • 启用升级调度流程。

  • 监控升级进度并解决遇到的任何问题。

  • 发布补丁版本升级的更改日志和发行说明。

  • 设置自动升级或立即或将来安排补丁版本升级。

  • 确认并安排次要版本升级。

  • 测试补丁版本上的客户应用程序以确保兼容性。

容量管理

Red Hat

  • 监控控制平面的使用情况。控制平面包括控制平面节点和基础设施节点。

  • 扩展和调整控制平面节点的大小以维护服务质量。

  • 监控工作节点利用率，并在适当情况下启用自动扩展功能。

  • 确定集群的扩展策略。有关机器池的更多信息，请参见附加资源。

  • 使用提供的 OpenShift 集群管理器控件根据需要添加或删除其他工作节点。

  • 响应 Red Hat 关于集群资源需求的通知。

虚拟存储管理

Red Hat

  • 设置和配置 Amazon EBS 以为集群提供本地节点存储和持久卷存储。

  • 设置和配置内置镜像注册表以使用 Amazon S3 存储桶存储。

  • 定期修剪 Amazon S3 中的镜像注册表资源，以优化 Amazon S3 使用率和集群性能。

  • 可以选择配置 Amazon EBS CSI 驱动程序或 Amazon EFS CSI 驱动程序，以便在集群上配置持久卷。

AWS 软件（公共 AWS 服务）

AWS

计算：提供 Amazon EC2 服务，用于 ROSA 控制平面、基础设施和工作节点。

存储：提供 Amazon EBS，ROSA 使用它为集群提供本地节点存储和持久卷存储。

存储：提供 Amazon S3，用于 ROSA 服务的内置镜像注册表。

网络：提供以下 AWS 云服务，ROSA 使用它们来满足虚拟网络基础设施的需求

  • Amazon VPC

  • 弹性负载均衡

  • AWS IAM

网络：提供以下 AWS 服务，客户可以选择将其与 ROSA 集成

  • AWS VPN

  • AWS Direct Connect

  • AWS PrivateLink

  • AWS Transit Gateway

  • 使用与 IAM 主体或 STS 临时安全凭证关联的访问密钥 ID 和秘密访问密钥签署请求。

  • 指定集群在集群创建期间使用的 VPC 子网。

  • 可以选择配置客户管理的 VPC 以用于 ROSA 集群（对于 PrivateLink 和 HCP 集群是必需的）。

硬件/AWS 全球基础设施

AWS

  • 有关 AWS 数据中心的管理控制的信息，请参阅 AWS 云安全页面上的我们的控制。

  • 有关变更管理最佳实践的信息，请参阅 AWS 解决方案库中的AWS 变更管理指南。

  • 实施托管在 AWS 云上的客户应用程序和数据的变更管理最佳实践。
其他资源
编辑

安全和法规遵从性

下表概述了安全和法规遵从性方面的责任

资源 服务职责 客户职责

日志记录

Red Hat

  • 将集群审核日志发送到 Red Hat SIEM 以分析安全事件。保留审核日志一段时间以支持取证分析。

  • 分析应用程序日志中的安全事件。

  • 如果需要比默认日志记录堆栈提供的更长的保留时间，则通过日志记录 sidecar 容器或第三方日志记录应用程序将应用程序日志发送到外部端点。

虚拟网络管理

Red Hat

  • 监控虚拟网络组件是否存在潜在问题和安全威胁。

  • 使用公共 AWS 工具进行额外的监控和保护。

  • 监控可选配置的虚拟网络组件是否存在潜在问题和安全威胁。

  • 根据需要配置任何必要的防火墙规则或客户数据中心保护。

虚拟存储管理

Red Hat

  • 监控虚拟存储组件是否存在潜在问题和安全威胁。

  • 使用公共 AWS 工具进行额外的监控和保护。

  • 配置 ROSA 服务以默认情况下使用 Amazon EBS 提供的 AWS 托管密钥管理服务 (KMS) 密钥加密控制平面、基础设施和工作节点卷数据。

  • 配置 ROSA 服务以使用 Amazon EBS 提供的 AWS 托管 KMS 密钥加密使用默认存储类的客户持久卷。

  • 为客户提供使用客户管理的 AWS KMS 密钥加密持久卷的功能。

  • 配置容器镜像注册表以使用 Amazon S3 托管密钥 (SSE-3) 的服务器端加密对静态镜像注册表数据进行加密。

  • 为客户提供创建公共或私有 Amazon S3 镜像注册表以保护其容器镜像免遭未授权用户访问的功能。

  • 配置 Amazon EBS 卷。

  • 管理 Amazon EBS 卷存储，以确保有足够的存储空间可以作为卷安装在 ROSA 中。

  • 创建持久卷声明并通过 OpenShift 集群管理器生成持久卷。

虚拟计算管理

Red Hat

  • 监控虚拟计算组件是否存在潜在问题和安全威胁。

  • 使用公共 AWS 工具进行额外的监控和保护。

  • 监控可选配置的虚拟网络组件是否存在潜在问题和安全威胁。

  • 根据需要配置任何必要的防火墙规则或客户数据中心保护。

AWS 软件（公共 AWS 服务）

AWS

计算：保护 Amazon EC2，用于 ROSA 控制平面、基础设施和工作节点。有关更多信息，请参阅 Amazon EC2 用户指南中的Amazon EC2 中的基础设施安全。

存储：保护 Amazon Elastic Block Store (EBS)，用于 ROSA 控制平面、基础设施和工作节点卷以及 Kubernetes 持久卷。有关更多信息，请参阅 Amazon EC2 用户指南中的Amazon EC2 中的数据保护。

存储：提供 AWS KMS，ROSA 使用它来加密控制平面、基础设施和工作节点卷以及持久卷。有关更多信息，请参阅 Amazon EC2 用户指南中的Amazon EBS 加密。

存储：保护 Amazon S3，用于 ROSA 服务的内置容器镜像注册表。有关更多信息，请参阅 S3 用户指南中的Amazon S3 安全性。

网络：提供安全功能和服务，以增强隐私并控制对 AWS 全球基础设施的网络访问，包括内置于 Amazon VPC 的网络防火墙、专用或专用网络连接以及 AWS 安全设施之间 AWS 全球和区域网络上所有流量的自动加密。有关更多信息，请参阅AWS 共享责任模型和《AWS 安全简介》白皮书中的基础设施安全。

  • 确保遵循安全最佳实践和最小权限原则，以保护 Amazon EC2 实例上的数据。有关更多信息，请参阅Amazon EC2 中的基础设施安全和Amazon EC2 中的数据保护。

  • 监控可选配置的虚拟网络组件是否存在潜在问题和安全威胁。

  • 根据需要配置任何必要的防火墙规则或客户数据中心保护。

  • 创建可选的客户托管 KMS 密钥，并使用该 KMS 密钥加密 Amazon EBS 持久卷。

  • 监控虚拟存储中的客户数据，以防范潜在问题和安全威胁。更多信息，请参见共享责任模型。

硬件/AWS 全球基础设施

AWS

  • 提供 ROSA 用于交付服务功能的 AWS 全球基础设施。有关 AWS 安全控制的更多信息，请参见 AWS 白皮书中的AWS 基础设施的安全。

  • 提供文档，供客户管理合规性需求，并使用 AWS Artifact 和 AWS Security Hub 等工具检查其在 AWS 中的安全状态。更多信息，请参见 ROSA 用户指南中的ROSA 合规性验证。

  • 配置、管理和监控客户应用程序和数据，以确保正确执行应用程序和数据安全控制。

  • 使用 IAM 工具向客户帐户中的 AWS 资源应用适当的权限。
编辑

灾难恢复

灾难恢复包括数据和配置备份、将数据和配置复制到灾难恢复环境以及在灾难事件发生时进行故障转移。

AWS 上的 Red Hat OpenShift 服务 (ROSA) 提供针对在 Pod、工作节点、基础设施节点、控制平面节点和可用区级别发生的故障的灾难恢复。

所有灾难恢复都需要客户使用最佳实践来部署高可用性应用程序、存储和集群架构，例如单区域部署或多区域部署，以应对所需可用性级别。

单个单区域集群无法在可用区或区域中断的情况下避免或恢复灾难。具有客户维护的故障转移的多个单区域集群可以应对区域或区域级别的中断。

单个多区域集群无法在整个区域中断的情况下避免或恢复灾难。具有客户维护的故障转移的多个多区域集群可以应对区域级别的中断。

资源 服务职责 客户职责

虚拟网络管理

Red Hat

  • 恢复或重新创建平台运行所需的影响虚拟网络组件。

  • 尽可能配置具有多个隧道的虚拟网络连接，以防范公共云提供商建议的中断。

  • 如果使用具有多个集群的全局负载均衡器，则维护故障转移 DNS 和负载均衡。

虚拟存储管理

Red Hat

  • 对于使用 IAM 用户凭证创建的 ROSA 集群，请通过每小时、每日和每周的卷快照备份集群上的所有 Kubernetes 对象。每小时备份保留 24 小时（1 天），每日备份保留 168 小时（1 周），每周备份保留 720 小时（30 天）。

  • 备份客户应用程序和应用程序数据。

虚拟计算管理

Red Hat

  • 监控集群并替换故障的 Amazon EC2 控制平面或基础设施节点。

  • 为客户提供手动或自动替换故障工作节点的能力。

  • 通过 OpenShift 集群管理器或 ROSA CLI 编辑机器池配置来替换故障的 Amazon EC2 工作节点。

AWS 软件（公共 AWS 服务）

AWS

计算：提供支持数据弹性的 Amazon EC2 功能，例如 Amazon EBS 快照和 Amazon EC2 自动扩展。更多信息，请参见 EC2 用户指南中的Amazon EC2 中的弹性。

存储：为 ROSA 服务和客户提供通过 Amazon EBS 卷快照备份集群上 Amazon EBS 卷的能力。

存储：有关支持数据弹性的 Amazon S3 功能的信息，请参见Amazon S3 中的弹性。

网络：有关支持数据弹性的 Amazon VPC 功能的信息，请参见 Amazon VPC 用户指南中的Amazon 虚拟私有云中的弹性。

  • 配置 ROSA 多 AZ 集群以提高容错性和集群可用性。

  • 使用 Amazon EBS CSI 驱动程序配置持久卷以启用卷快照。

  • 创建 Amazon EBS 持久卷的 CSI 卷快照。

硬件/AWS 全球基础设施

AWS

  • 提供 AWS 全球基础设施，允许 ROSA 在可用区之间扩展控制平面、基础设施和工作节点。此功能使 ROSA 能够在区域之间进行无中断的自动故障转移。

  • 有关灾难恢复最佳实践的更多信息，请参见 AWS 架构完善框架中的云中的灾难恢复选项。

  • 配置 ROSA 多 AZ 集群以提高容错性和集群可用性。
其他资源
编辑

数据和应用程序的其他客户责任

客户负责其部署到 AWS 上的 Red Hat OpenShift 服务的应用程序、工作负载和数据。但是，Red Hat 和 AWS 提供各种工具来帮助客户管理平台上的数据和应用程序。

资源 Red Hat 和 AWS 客户职责

客户数据

Red Hat

  • 维护行业安全和合规性标准定义的平台级数据加密标准。

  • 提供 OpenShift 组件来帮助管理应用程序数据，例如密钥。

  • 启用与 Amazon RDS 等数据服务的集成，以存储和管理集群和/或 AWS 外的数据。

AWS

  • 提供 Amazon RDS，允许客户存储和管理集群和/或 AWS 外的数据。

  • 对存储在平台上的所有客户数据以及客户应用程序如何使用和公开这些数据负责。

客户应用程序

Red Hat

  • 预配安装了 OpenShift 组件的集群，以便客户可以访问 OpenShift 和 Kubernetes API 来部署和管理容器化应用程序。

  • 使用镜像拉取密钥创建集群，以便客户部署可以从 Red Hat Container Catalog 注册表中拉取镜像。

  • 提供客户可以使用 OpenShift API 设置 Operators，将社区、第三方和 Red Hat 服务添加到集群。

  • 提供存储类和插件以支持用于客户应用程序的持久卷。

  • 提供容器镜像注册表，以便客户可以安全地将应用程序容器镜像存储在集群中以部署和管理应用程序。

AWS

  • 提供 Amazon EBS 以支持用于客户应用程序的持久卷。

  • 提供 Amazon S3 以支持 Red Hat 预配容器镜像注册表。

  • 对客户和第三方应用程序、数据及其整个生命周期负责。

  • 如果客户使用 Operators 或外部镜像将 Red Hat、社区、第三方、自己的或其他服务添加到集群，则客户应对这些服务负责，并与包括 Red Hat 在内的相应提供商合作以解决任何问题。

  • 使用提供的工具和功能进行配置和部署；保持最新；设置资源请求和限制；调整集群大小以拥有足够的资源来运行应用程序；设置权限；与其他服务集成；管理客户部署的任何镜像流或模板；外部服务；保存、备份和恢复数据；以及以其他方式管理其高可用性和弹性工作负载。

  • 负责监控在 AWS 上的 Red Hat OpenShift 服务上运行的应用程序，包括安装和操作软件以收集指标、创建警报和保护应用程序中的密钥。