Red Hat OpenShift Service on AWS 服务定义

AWS 上的 Red Hat OpenShift 服务的费用直接计入您的 Amazon Web Services (AWS) 账户。ROSA 定价基于使用量，并提供年度承诺或三年承诺以获得更大的折扣。ROSA 的总成本包含两个部分

访问 AWS 网站上的 AWS 上 Red Hat OpenShift 服务定价 页面了解更多详情。

客户可以自助管理其集群，包括但不限于

您可以使用 AWS 上的 Red Hat OpenShift 服务 (ROSA) CLI，rosa 来执行这些自助服务任务。

单可用区集群需要至少 3 个控制平面节点、2 个基础设施节点和 2 个工作节点部署到单个可用区。

多可用区集群需要至少 3 个控制平面节点、3 个基础设施节点和 3 个工作节点。

部署和管理工作负载时，请考虑以下限制

如果 AWS 上的 Red Hat OpenShift 服务组件受到影响，Red Hat 可能会通知您并调整控制平面或基础设施节点的大小。

控制平面和基础设施节点由 Red Hat 部署和管理。这些节点会根据资源使用情况自动调整大小。如果您需要调整这些节点的大小以满足集群需求，请提交支持案例。

有关必须在 Worker 节点上部署的 Red Hat 工作负载的更多信息，请参阅以下 Red Hat Operator 支持部分。

目前以下 AWS 区域可用于 Red Hat OpenShift 4，并受 AWS 上 Red Hat OpenShift 服务支持。

多可用区集群只能部署在至少具有 3 个可用区的区域中。有关更多信息，请参阅 AWS 文档中的 区域和可用区 部分。

每个新的 AWS 上 Red Hat OpenShift 服务集群都安装在一个安装程序创建的或预先存在的虚拟私有云 (VPC) 中的单个区域内，可以选择部署到单个可用区 (单 AZ) 或跨多个可用区 (多 AZ)。这提供了集群级网络和资源隔离，并支持云提供商 VPC 设置，例如 VPN 连接和 VPC 对等连接。持久卷 (PV) 由 Amazon Elastic Block Storage (Amazon EBS) 支持，并且特定于其在其中预配的可用区。持久卷声明 (PVC) 直到关联的 Pod 资源分配到特定可用区后才绑定到卷，以防止 Pod 不可调度。特定于可用区的资源只能由同一可用区中的资源使用。

AWS 上的 Red Hat OpenShift 服务支持使用 AWS 本地区域，这是大都市中心化的可用区，客户可以在其中放置对延迟敏感的应用程序工作负载。本地区域是 AWS 区域的扩展，具有自己的互联网连接。有关 AWS 本地区域的更多信息，请参阅 AWS 文档 本地区域的工作原理。

服务本身的任何 SLA 都定义在 Red Hat 企业协议附录 4（在线订阅服务） 的附录 4 中。

当集群状态转换为有限支持时，Red Hat 将不再主动监控集群，SLA 将不再适用，并且根据 SLA 申请的积分将被拒绝。但这并不意味着您不再获得产品支持。在某些情况下，如果您可以修复违规因素，集群可以恢复到完全支持的状态。但是，在其他情况下，您可能需要删除并重新创建集群。

集群可能由于多种原因而转为有限支持状态，包括以下场景：

如果您对可能导致集群转为有限支持状态的特定操作有疑问，或需要进一步帮助，请打开支持工单。

Red Hat OpenShift Service on AWS 包括 Red Hat 高级支持，您可以通过 Red Hat 客户门户 访问。

请参阅 Red Hat 的 生产支持服务条款，了解支持响应时间。

AWS 支持受客户与 AWS 现有支持合同的约束。

如果启用了集成，则可以通过 AWS CloudWatch 获取集群审计日志。如果未启用集成，您可以通过打开支持案例来请求审计日志。

发送到STDOUT的应用程序日志将由 Fluentd 收集，如果安装了集群日志记录堆栈，则将其转发到 AWS CloudWatch。

Red Hat OpenShift Service on AWS 集群配备了集成的 Prometheus 堆栈，用于集群监控，包括基于 CPU、内存和网络的指标。这可以通过 Web 控制台访问。这些指标还允许基于 Red Hat OpenShift Service on AWS 用户提供的 CPU 或内存指标进行水平 Pod 自动扩展。

集群通知是关于集群状态、健康状况或性能的消息。

集群通知是 Red Hat 站点可靠性工程 (SRE) 与您沟通托管集群健康状况的主要方式。SRE 还可以使用集群通知提示您执行操作，以解决或防止集群问题。

集群所有者和管理员必须定期查看和处理集群通知，以确保集群保持健康和受支持。

您可以在 Red Hat Hybrid Cloud 控制台的集群历史选项卡中查看集群通知。默认情况下，只有集群所有者会收到集群通知电子邮件。如果其他用户需要接收集群通知电子邮件，请将每个用户添加为集群的通知联系人。

要对路由使用自定义主机名，您必须通过创建规范名称 (CNAME) 记录来更新您的 DNS 提供商。您的 CNAME 记录应将 OpenShift 规范路由器主机名映射到您的自定义域名。创建路由后，将在“路由详细信息”页面上显示 OpenShift 规范路由器主机名。或者，可以创建一次通配符 CNAME 记录，将给定主机名的所有子域名路由到集群的路由器。

Red Hat OpenShift Service on AWS 包括集群上内部和外部服务所需的 TLS 安全证书。对于外部路由，提供并安装在每个集群上的两个单独的 TLS 通配符证书：一个用于 Web 控制台和路由默认主机名，另一个用于 API 端点。Let's Encrypt 是用于证书的证书颁发机构。集群内的路由（例如内部 API 端点）使用集群内置证书颁发机构签名的 TLS 证书，并需要每个 Pod 中可用的 CA 捆绑包来信任 TLS 证书。

Red Hat OpenShift Service on AWS 支持使用自定义证书颁发机构，以便在从镜像注册表拉取镜像时被构建信任。

Red Hat OpenShift Service on AWS 使用多达五个不同的负载均衡器

项目管理员可以添加路由注释用于多种不同目的，包括通过 IP 白名单进行入口控制。

也可以使用NetworkPolicy对象更改入口策略，这些对象利用ovs-networkpolicy插件。这允许完全控制入口网络策略，直至 Pod级别，包括同一集群甚至同一命名空间中的 Pod 之间。

所有集群入口流量都将通过已定义的负载均衡器。对所有节点的直接访问都受到云配置的阻止。

可以通过EgressNetworkPolicy对象控制 Pod 出口流量，以防止或限制 AWS 上 Red Hat OpenShift Service 的出站流量。

控制平面和基础架构节点的公共出站流量是必需的，用于维护集群镜像安全和集群监控。这要求0.0.0.0/0路由仅属于互联网网关；无法通过私有连接路由此范围。

OpenShift 4 集群使用 NAT 网关为离开集群的任何公共出站流量提供公共静态 IP。集群部署到的每个可用区都会收到一个不同的 NAT 网关，因此最多可以存在 3 个唯一的静态 IP 地址用于集群出口流量。任何保留在集群内部或不连接到公共互联网的流量都不会通过 NAT 网关，并且其源 IP 地址将属于流量发起的节点。节点 IP 地址是动态的；因此，客户在访问私有资源时不应依赖于将单个 IP 地址列入白名单。

客户可以通过在集群上运行 Pod，然后查询外部服务来确定其公共静态 IP 地址。例如

AWS 上的 Red Hat OpenShift Service 允许通过 AWS 托管技术配置私有网络连接，例如

对于具有私有云网络配置的 AWS 上 Red Hat OpenShift Service 集群，客户可以指定在该私有连接上可用的内部 DNS 服务器，这些服务器应查询显式提供的域名。

当您将 AWS 上的 Red Hat OpenShift Service 集群部署到现有的虚拟私有云 (VPC) 或创建具有对集群而言新的子网的附加机器池时，网络验证检查会自动运行。这些检查会验证您的网络配置并突出显示错误，使您能够在部署之前解决配置问题。

您也可以手动运行网络验证检查以验证现有集群的配置。

控制平面、基础架构和工作节点使用静态加密的 Amazon Elastic Block Store (Amazon EBS) 存储。

默认情况下，用于 PV 的 EBS 卷会进行静态加密。

持久卷 (PV) 由 Amazon Elastic Block Store (Amazon EBS) 支持，它是只读一次写入的。

PV 每次只能附加到单个节点，并且特定于其在其中配置的可用区。但是，PV 可以附加到可用区中的任何节点。

每个云提供商都有其自身关于可以附加到单个节点的 PV 数量的限制。有关详细信息，请参阅AWS 实例类型限制。

AWS CSI 驱动程序可用于为 AWS 上的 Red Hat OpenShift Service 提供 RWX 支持。提供了一个社区运营商来简化设置。有关详细信息，请参阅OpenShift Dedicated 和 AWS 上的 Red Hat OpenShift Service 的 Amazon Elastic File Storage 设置。

AWS 上的 Red Hat OpenShift Service 提供节点自动缩放功能。您可以配置自动缩放程序选项以自动缩放集群中的机器数量。

客户可以在 AWS 上的 Red Hat OpenShift Service 上创建和运行守护程序集。要将守护程序集限制为仅在工作节点上运行，请使用以下nodeSelector

在多可用区集群中，控制平面节点分布在可用区之间，并且每个可用区至少需要一个工作节点。

自定义节点标签由 Red Hat 在节点创建期间创建，目前无法在 AWS 上的 Red Hat OpenShift Service 集群中更改。但是，创建新的机器池时支持自定义标签。

应用程序和应用程序数据备份不属于 AWS 上 Red Hat OpenShift Service 服务的一部分。

AWS 上的 Red Hat OpenShift 服务作为一项服务运行，并始终保持最新的 OpenShift Container Platform 版本。可安排升级到最新版本。

可以使用 ROSA CLI（`rosa`）或通过 OpenShift 集群管理器来安排升级。

有关升级策略和流程的更多信息，请参见AWS 上的 Red Hat OpenShift 服务生命周期。

目前，AWS 上的 Red Hat OpenShift 服务尚不支持 Windows 容器。

AWS 上的 Red Hat OpenShift 服务运行在 OpenShift 4 上，并使用CRI-O作为唯一可用的容器引擎。

AWS 上的 Red Hat OpenShift 服务运行在 OpenShift 4 上，并使用 Red Hat CoreOS 作为所有控制平面和工作节点的操作系统。

Red Hat 工作负载通常指通过 Operator Hub 提供的 Red Hat 提供的 Operator。Red Hat 工作负载不由 Red Hat SRE 团队管理，必须部署在工作节点上。这些 Operator 可能需要额外的 Red Hat 订阅，并可能产生额外的云基础设施成本。这些 Red Hat 提供的 Operator 的示例包括：

OperatorHub 市场中列出的所有 Operator 都应该可以安装。这些 Operator 被视为客户工作负载，不由 Red Hat SRE 监控。

可以使用OpenShift 集群管理器或集群创建过程，或者使用 ROSA CLI（`rosa`）来配置集群的身份验证。ROSA 不是身份提供程序，所有对集群的访问都必须由客户作为其集成解决方案的一部分进行管理。同时配置多个身份提供程序是受支持的。支持以下身份提供程序：

具有 `cluster-admin` 角色的用户可以使用特权容器。作为 `cluster-admin` 使用特权容器受《Red Hat 企业协议附录 4》（在线订阅服务）中的责任和排除说明的约束。

除了普通用户之外，AWS 上的 Red Hat OpenShift 服务还提供对名为 `dedicated-admin` 的 ROSA 特定组的访问。集群中属于 `dedicated-admin` 组的任何用户：

AWS 上 Red Hat OpenShift 服务的管理员对组织的集群具有 `cluster-admin` 角色的默认访问权限。登录到具有 `cluster-admin` 角色的帐户时，用户可以增加权限以运行特权安全上下文。

默认情况下，所有用户都可以创建、更新和删除其项目。如果 `dedicated-admin` 组的成员从已认证用户中删除 `self-provisioner` 角色，则可以限制此功能。

可以通过应用以下方法来恢复限制：

请参阅《了解 ROSA 的流程和安全性》中的“合规性”表，了解最新的合规性信息。

在 AWS 上的 Red Hat OpenShift 服务中，AWS 为所有负载均衡器提供标准 DDoS 保护，称为 AWS Shield。这提供了 95% 的保护，可以防御针对 AWS 上 Red Hat OpenShift 服务使用的所有面向公众的负载均衡器的最常用的 3 层和 4 层攻击。为来自 `haproxy` 路由器的 HTTP 请求添加了 10 秒的超时，以接收响应，否则连接将关闭，以提供额外的保护。

在 AWS 上的 Red Hat OpenShift 服务中，控制平面存储默认情况下处于静止状态加密，这包括 etcd 卷的加密。此存储级加密通过云提供商的存储层提供。

您还可以启用 etcd 加密，这会加密 etcd 中的关键值，但不加密密钥。如果启用 etcd 加密，则会加密以下 Kubernetes API 服务器和 OpenShift API 服务器资源：

etcd 加密功能默认情况下未启用，只能在集群安装时启用。即使启用了 etcd 加密，任何具有对控制平面节点或 `cluster-admin` 权限访问权限的人员都可以访问 etcd 关键值。