Resumen de las responsabilidades de ROSA

Supervise OpenShift el servicio del router nativo y responda a las alertas.

Monitorear el estado de las rutas de las aplicaciones y los puntos de conexión detrás de ellas.

Informe las interrupciones a Red Hat AWS y a Red Hat.

Supervise los balanceadores de AWS carga, Amazon VPC las subredes y Servicio de AWS los componentes necesarios para la red de plataforma predeterminada. Responder a alertas.

Supervise el estado de los puntos finales del AWS equilibrador de carga.

Supervise el tráfico de red que se configura opcionalmente mediante Amazon VPC una conexión a una VPC, Site-to-Site VPN una conexión o Direct Connect para detectar posibles problemas o amenazas de seguridad.

Supervise Amazon EBS los volúmenes que se utilizan para los nodos del clúster y los Amazon S3 depósitos que se utilizan para el registro de imágenes de contenedores integrado en el ROSA servicio. Responder a alertas.

Monitorear el estado de los datos de la aplicación.

Si AWS KMS keys se utilizan sistemas gestionados por el cliente, cree y controle el ciclo de vida de las claves y las políticas de Amazon EBS cifrado.

Para obtener información sobre la gestión de AWS incidentes y operaciones, consulte Cómo se AWS mantiene la resiliencia operativa y la continuidad del servicio en el AWS documento técnico.

Supervise el estado de AWS los recursos de la cuenta del cliente.

Utilice IAM las herramientas para aplicar los permisos adecuados a AWS los recursos de la cuenta del cliente.

Para obtener información sobre la gestión de AWS incidentes y operaciones, consulte Cómo se AWS mantiene la resiliencia operativa y la continuidad del servicio en el AWS documento técnico.

Configurar, administrar y monitorear las aplicaciones y los datos de los clientes para garantizar que los controles de seguridad de las aplicaciones y los datos se apliquen correctamente.

Agregar y monitorear de forma centralizada los registros de auditoría de la plataforma.

Proporcionar y mantener un operador de registro para que el cliente pueda implementar una pila de registro para el registro predeterminado de las aplicaciones.

Proporcionar registros de auditoría a pedido del cliente.

Instalar el operador de registro de aplicaciones predeterminado opcional en el clúster.

Instalar, configurar y mantener cualquier solución de registro de aplicaciones opcional, como contenedores laterales de registro o aplicaciones de registro de terceros.

Ajustar el tamaño y la frecuencia de los registros de aplicaciones que generan las aplicaciones de los clientes si afectan a la estabilidad de la pila de registros o del clúster.

Solicitar los registros de auditoría de la plataforma a través de un caso de asistencia para investigar incidentes específicos.

Configurar equilibradores de carga públicos. Ofrecer la posibilidad de configurar equilibradores de carga privados y hasta un equilibrador de carga adicional cuando sea necesario.

Configure el servicio de OpenShift router nativo. Ofrecer la posibilidad de configurar el enrutador como privado y añadir hasta una partición adicional del enrutador.

Instale, configure y mantenga los componentes de OpenShift SDN para el tráfico del pod interno predeterminado.

Brindarle al cliente la posibilidad de administrar objetos de NetworkPolicy y EgressNetworkPolicy (firewall).

Configurar los permisos de red de los pods no predeterminados para las redes de proyectos y de pods, así como para la entrada y salida de pods mediante objetos de la NetworkPolicy.

Usa OpenShift Cluster Manager para solicitar un balanceador de cargas privado para las rutas de aplicaciones predeterminadas.

Use OpenShift Cluster Manager para configurar hasta un fragmento de router público o privado adicional y el balanceador de carga correspondiente.

Solicitar y configurar cualquier equilibrador de carga de servicios adicional para servicios específicos.

Configurar las reglas de reenvío del DNS necesarias.

Configure los componentes de administración de clústeres, como los puntos finales de servicios públicos o privados y la integración necesaria con los componentes. Amazon VPC

Configurar los componentes de red internos necesarios para la comunicación interna del clúster entre los nodos de trabajo, de la infraestructura y del plano de control.

Proporcione rangos de direcciones IP opcionales no predeterminados para el CIDR de máquina, el CIDR de servicio y el CIDR de pod si es necesario a través de OpenShift Cluster Manager cuando se aprovisione el clúster.

Solicita que el punto final del servicio de API se haga público o privado al crear el clúster o después de crearlo mediante Cluster Manager. OpenShift

Configure y configure Amazon VPC los componentes necesarios para aprovisionar el clúster, como subredes, balanceadores de carga, puertas de enlace de Internet y puertas de enlace NAT.

Proporcione al cliente la capacidad de administrar la Site-to-Site VPN conectividad con recursos locales, la conectividad a la Amazon VPC VPC y, Direct Connect según sea necesario, a través OpenShift de Cluster Manager.

Permita a los clientes crear e implementar balanceadores de AWS carga para usarlos con balanceadores de carga de servicios.

Configure y mantenga Amazon VPC los componentes opcionales, como la conexión Amazon VPC a VPC, la Site-to-Site VPN conexión o. Direct Connect

Solicitar y configurar cualquier equilibrador de carga adicional para servicios específicos.

Configure y configure el plano de ROSA control y el plano de datos para usar Amazon EC2 instancias para la computación en clústeres.

Supervise y gestione el despliegue del plano de Amazon EC2 control y los nodos de infraestructura en el clúster.

Supervise y administre los Amazon EC2 nodos de trabajo mediante la creación de un grupo de máquinas mediante el administrador de OpenShift clústeres o la ROSA CLI.

Administrar los cambios en las aplicaciones y los datos de las aplicaciones implementadas por el cliente.

Habilitar el proceso de programación de actualizaciones.

Supervisar el progreso de la actualización y solucionar los problemas encontrados.

Publicar los registros de cambios y las notas de la versión para las actualizaciones secundarias y de mantenimiento.

Programar las actualizaciones de las versiones de mantenimiento de forma inmediata, para el futuro, o realizar actualizaciones automáticas.

Reconocer y programar las actualizaciones de las versiones secundarias.

Garantizar que la versión del clúster permanezca en una versión secundaria compatible.

Probar las aplicaciones del cliente en versiones secundarias y de mantenimiento para garantizar la compatibilidad.

Monitorear el uso del plano de control. Los planos de control incluyen nodos del plano de control y nodos de la infraestructura.

Escalar y cambiar el tamaño de los nodos del plano de control para mantener la calidad del servicio.

Supervisar la utilización de los nodos de trabajo y, si corresponde, habilitar la característica de escalado automático.

Determinar la estrategia de escalado del clúster.

Utilice los controles del administrador de OpenShift clústeres proporcionados para añadir o eliminar nodos de trabajo adicionales según sea necesario.

Responder a las notificaciones de Red Hat relacionadas con los requisitos de recursos del clúster.

Configúrelo y Amazon EBS configúrelo para aprovisionar el almacenamiento de nodos locales y el almacenamiento de volumen persistente para el clúster.

Configure y configure el registro de imágenes integrado para usar el almacenamiento en Amazon S3 cubos.

Reduzca periódicamente los recursos de registro de imágenes Amazon S3 para optimizar el Amazon S3 uso y el rendimiento del clúster.

Si lo desea, configure el controlador Amazon EBS CSI o el controlador Amazon EFS CSI para aprovisionar volúmenes persistentes en el clúster.

Proporcione el Amazon EC2 servicio, que se utiliza para ROSA el plano de control, la infraestructura y los nodos de trabajo.

Se proporciona Amazon EBS para permitir que el ROSA servicio aprovisione almacenamiento en nodos locales y almacenamiento en volumen persistente para el clúster.

Proporcione los siguientes Nube de AWS servicios para satisfacer las necesidades de infraestructura de redes ROSA virtuales:

Proporcione las siguientes Servicio de AWS integraciones opcionales para ROSA:

Firme las solicitudes con un identificador de clave de acceso y una clave de acceso secreta asociadas a una credencial de seguridad IAM principal o AWS STS temporal.

Especificar las subredes de VPC para que el clúster las utilice durante la creación del clúster.

Si lo desea, configure una VPC administrada por el cliente para usarla con clústeres. ROSA

Para obtener información sobre los controles de administración de AWS los centros de datos, consulte Nuestros controles en la página de Nube de AWS seguridad.

Para obtener información sobre las mejores prácticas de gestión de cambios, consulte la Guía para la gestión de cambios AWS en la biblioteca de AWS soluciones.

Implementar las prácticas recomendadas de administración de cambios para las aplicaciones y los datos de los clientes alojados en la Nube de AWS.

Adherirse a un proceso de acceso interno por niveles basado en los estándares del sector para los registros de auditoría de la plataforma.

Proporcione capacidades de OpenShift RBAC nativas.

Configure el OpenShift RBAC para controlar el acceso a los proyectos y, por extensión, a los registros de las aplicaciones de un proyecto.

En el caso de las soluciones de registro de aplicaciones personalizadas o de terceros, el cliente es responsable de la administración del acceso.

Proporcione capacidades y OpenShift RBAC nativos. dedicated-admin

Configure un OpenShift dedicated-admin RBAC para controlar el acceso a la configuración de la ruta según sea necesario.

Administre a los administradores de la organización de Red Hat para que Red Hat conceda acceso a OpenShift Cluster Manager. El administrador de clústeres se utiliza para configurar las opciones del enrutador y proporcionar una service quota del equilibrador de carga.

Proporcione controles de acceso a los clientes a través de OpenShift Cluster Manager. Proporcione capacidades y OpenShift dedicated-admin RBAC nativos.

Configure un OpenShift dedicated-admin RBAC para controlar el acceso a la configuración de la ruta según sea necesario.

Administrar la membresía de la organización de Red Hat de cuentas de Red Hat.

Administre a los administradores de la organización para que Red Hat conceda acceso a OpenShift Cluster Manager.

Proporcione controles de acceso a los clientes a través de OpenShift Cluster Manager.

Gestione el acceso opcional de los usuarios a AWS los componentes a través de OpenShift Cluster Manager.

Proporcione controles de acceso a los clientes a través de OpenShift Cluster Manager.

Gestione el acceso opcional de los usuarios a AWS los componentes a través de OpenShift Cluster Manager.

Cree las IAM funciones y las políticas adjuntas necesarias para permitir el acceso al ROSA servicio.

Proporcione controles de acceso a los clientes a través de OpenShift Cluster Manager.

Gestione el acceso opcional de los usuarios a AWS los componentes a través de OpenShift Cluster Manager.

Cree las IAM funciones y las políticas adjuntas necesarias para permitir el acceso al ROSA servicio.

Proporcione el Amazon EC2 servicio, que se utiliza para ROSA el plano de control, la infraestructura y los nodos de trabajo.

Provide Amazon EBS, que se utiliza ROSA para permitir el aprovisionamiento de almacenamiento en nodos locales y almacenamiento de volumen persistente para el clúster.

Provide Amazon S3, que se utiliza para el registro de imágenes integrado en el servicio.

Provide AWS Identity and Access Management (IAM), que utilizan los clientes para controlar el acceso a ROSA los recursos que se encuentran en las cuentas de los clientes.

Cree las IAM funciones y las políticas adjuntas necesarias para permitir el acceso al ROSA servicio.

Utilice IAM las herramientas para aplicar los permisos adecuados a AWS los recursos de la cuenta del cliente.

Para activarlos ROSA en toda AWS la organización, el cliente es responsable de administrar AWS Organizations los administradores.

Para ROSA activarlo en toda su AWS organización, el cliente es responsable de distribuir la subvención de ROSA prestaciones mediante. AWS License Manager

Para obtener información sobre los controles de acceso físico a AWS los centros de datos, consulte Nuestros controles en la página de Nube de AWS seguridad.

El cliente no es responsable de la infraestructura AWS global.

Enviar los registros de auditoría del clúster a una SIEM de Red Hat para analizarlos en busca de eventos de seguridad. Retener los registros de auditoría durante un período de tiempo definido para respaldar el análisis forense.

Analizar los registros de las aplicaciones para detectar eventos de seguridad.

Enviar los registros de las aplicaciones a un punto de conexión externo mediante contenedores auxiliares de registro o aplicaciones de registro de terceros si es necesario conservarlos durante más tiempo que el que ofrece la pila de registros predeterminada.

Monitorear los componentes de la red virtual para detectar posibles problemas y amenazas de seguridad.

Utilice AWS herramientas públicas para una supervisión y protección adicionales.

Monitorear los componentes de la red virtual configurada para detectar posibles problemas y amenazas de seguridad.

Configurar las reglas de firewall necesarias o las protecciones del centro de datos del cliente según sea necesario.

Supervisar los componentes virtuales de computación para detectar posibles problemas y amenazas de seguridad.

Utilice AWS herramientas públicas para una supervisión y protección adicionales.

Monitorear los componentes de la red virtual configurada para detectar posibles problemas y amenazas de seguridad.

Configurar las reglas de firewall necesarias o las protecciones del centro de datos del cliente según sea necesario.

Supervisar los componentes del almacenamiento virtual para detectar posibles problemas y amenazas de seguridad.

Utilice AWS herramientas públicas para una supervisión y protección adicionales.

Configure el ROSA servicio para cifrar los datos del plano de control, la infraestructura y el volumen de los nodos de trabajo de forma predeterminada mediante la clave KMS AWS administrada que se Amazon EBS proporciona.

Configure el ROSA servicio para cifrar los volúmenes persistentes de los clientes que utilizan la clase de almacenamiento predeterminada con la clave de KMS AWS administrada que se Amazon EBS proporciona.

Proporcione al cliente la posibilidad de utilizar un sistema gestionado por el cliente KMS key para cifrar los volúmenes persistentes.

Configure el registro de imágenes del contenedor para cifrar los datos de registro de imágenes en reposo mediante el cifrado del lado del servidor con claves Amazon S3 administradas (SSE-3).

Ofrezca al cliente la posibilidad de crear un registro de imágenes público o privado para proteger las Amazon S3 imágenes del contenedor del acceso de usuarios no autorizados.

Amazon EBS Volúmenes de aprovisionamiento.

Administre Amazon EBS el almacenamiento por volumen para garantizar que haya suficiente espacio de almacenamiento disponible para montarlo como volumen ROSA.

Cree la declaración de volumen persistente y genere un volumen persistente a través de OpenShift Cluster Manager.

Proporcione Amazon EC2, que se utiliza para ROSA el plano de control, la infraestructura y los nodos de trabajo. Para obtener más información, consulte Seguridad de la infraestructura Amazon EC2 en la Guía del Amazon EC2 usuario.

Proporcione Amazon EBS, que se utiliza para los volúmenes del plano de ROSA control, la infraestructura y los nodos de trabajo, así como para los volúmenes persistentes de Kubernetes. Para obtener más información, consulte Protección de datos Amazon EC2 en la Guía del Amazon EC2 usuario.

Provide AWS KMS, que se ROSA utiliza para cifrar los volúmenes del plano de control, la infraestructura y los nodos de trabajo y los volúmenes persistentes. Para obtener más información, consulte el Amazon EBS cifrado en la Guía del Amazon EC2 usuario.

Provide Amazon S3, que se utiliza para el registro de imágenes de contenedores integrado en el servicio ROSA. Para obtener más información, consulte la Amazon S3 sección de seguridad en la Guía Amazon S3 del usuario.

Proporcione capacidades y servicios de seguridad para aumentar la privacidad y controlar el acceso a la red en la infraestructura AWS global, incluidos los firewalls de red integrados Amazon VPC, las conexiones de red privadas o dedicadas y el cifrado automático de todo el tráfico de las redes AWS globales y regionales entre instalaciones AWS seguras. Para obtener más información, consulte el modelo de responsabilidad AWS compartida y la seguridad de la infraestructura en el documento técnico Introducción a la AWS seguridad.

Asegúrese de seguir las mejores prácticas de seguridad y el principio del privilegio mínimo para proteger los datos de la Amazon EC2 instancia. Para obtener más información, consulte Seguridad de la infraestructura en Amazon EC2 y Protección de los datos en Amazon EC2.

Monitorear los componentes de la red virtual configurada para detectar posibles problemas y amenazas de seguridad.

Configurar las reglas de firewall necesarias o las protecciones del centro de datos del cliente según sea necesario.

Cree una clave KMS opcional administrada por el cliente y cifre el volumen Amazon EBS persistente con la clave KMS.

Monitorear los datos del cliente en el almacenamiento virtual para detectar posibles problemas y amenazas de seguridad. Para obtener más información, consulte Modelo de responsabilidad compartida de AWS.

Proporcione la infraestructura AWS global que se ROSA utiliza para ofrecer la funcionalidad del servicio. Para obtener más información sobre los controles de AWS seguridad, consulte Seguridad de la AWS infraestructura en el AWS documento técnico.

Proporcione documentación para que el cliente gestione las necesidades de cumplimiento y compruebe su estado de seguridad AWS mediante herramientas como AWS Artifact AWS Security Hub.

Configurar, administrar y monitorear las aplicaciones y los datos de los clientes para garantizar que los controles de seguridad de las aplicaciones y los datos se apliquen correctamente.

Utilice IAM las herramientas para aplicar los permisos adecuados a AWS los recursos de la cuenta del cliente.

Restaurar o volver a crear los componentes de la red virtual afectados que son necesarios para que la plataforma funcione.

Configurar las conexiones de redes virtuales con más de un túnel siempre que sea posible para protegerse contra las interrupciones.

Mantener el DNS de conmutación por error y el equilibrio de carga si se utiliza un equilibrador de carga global con varios clústeres.

Supervise el clúster y sustituya los nodos de infraestructura o del plano de Amazon EC2 control que hayan fallado.

Ofrecer al cliente la posibilidad de reemplazar de forma manual o automática los nodos de trabajo defectuosos.

Reemplace los Amazon EC2 nodos de trabajo defectuosos editando la configuración del grupo de máquinas mediante OpenShift Cluster Manager o la ROSA CLI.

En el ROSA caso de los clústeres creados con credenciales de AWS IAM usuario, haga una copia de seguridad de todos los objetos de Kubernetes del clúster mediante instantáneas de los volúmenes por hora, día y semana.

Realizar copias de seguridad de las aplicaciones y los datos de las aplicaciones de los clientes.

Proporcione Amazon EC2 funciones que respalden la resiliencia de los datos, como Amazon EBS instantáneas y. Amazon EC2 Auto Scaling Para obtener más información, consulte Resiliencia Amazon EC2 en la Guía del Amazon EC2 usuario.

Ofrezca al ROSA servicio y a los clientes la posibilidad de hacer copias de seguridad del Amazon EBS volumen del clúster mediante instantáneas del Amazon EBS volumen.

Para obtener información sobre Amazon S3 las funciones que respaldan la resiliencia de los datos, consulte Resiliencia en. Amazon S3

Para obtener información sobre Amazon VPC las funciones que respaldan la resiliencia de los datos, consulte Resiliencia Amazon Virtual Private Cloud en la Guía del Amazon VPC usuario.

Configure los clústeres ROSA Multi-AZ para mejorar la tolerancia a errores y la disponibilidad de los clústeres.

Aprovisione volúmenes persistentes mediante el controlador Amazon EBS CSI para habilitar las instantáneas de los volúmenes.

Cree instantáneas de volúmenes persistentes en CSI. Amazon EBS

Proporcione una infraestructura AWS global que permita ROSA escalar el plano de control, la infraestructura y los nodos de trabajo en todas las zonas de disponibilidad. Esta funcionalidad permite ROSA organizar la conmutación por error automática entre zonas sin interrupciones.

Para obtener más información sobre las prácticas recomendadas de recuperación ante desastres, consulte Opciones de recuperación ante desastres en la nube en AWS Well-Architected Framework.

Configure los clústeres ROSA Multi-AZ para mejorar la tolerancia a errores y la disponibilidad de los clústeres.

Mantener los estándares de cifrado de datos a nivel de plataforma, tal como se definen en los estándares de seguridad y conformidad del sector.

Proporcione OpenShift componentes que ayuden a gestionar los datos de las aplicaciones, como los secretos.

Habilite la integración con los servicios de datos, por ejemplo, Amazon RDS para almacenar y administrar datos fuera del clúster y/o AWS.

Permiten a los clientes almacenar y gestionar los datos fuera del clúster. Amazon RDS

Ser responsable de todos los datos de los clientes almacenados en la plataforma y de la forma en que las aplicaciones de los clientes consumen y exponen estos datos.

Aprovisione los clústeres con OpenShift los componentes instalados para que los clientes puedan acceder a ellos OpenShift y a Kubernetes APIs para implementar y administrar las aplicaciones en contenedores.

Crear clústeres con secretos sobre la extracción de imágenes para que las implementaciones de los clientes puedan extraer imágenes del registro del catálogo contenedor de Red Hat.

Proporcione un acceso OpenShift APIs que un cliente pueda usar para configurar los operadores y añadir servicios comunitarios, de terceros y de Red Hat al clúster. AWS

Proporcionar complementos y clases de almacenamiento para admitir volúmenes persistentes y utilizarlos con las aplicaciones de los clientes.

Proporcionar un registro de imágenes de contenedores para que los clientes puedan almacenar de forma segura las imágenes de los contenedores de aplicaciones en el clúster para implementar y administrar las aplicaciones.

Amazon EBS Permiten admitir volúmenes persistentes para su uso con las aplicaciones de los clientes.

Amazon S3 Permiten respaldar el aprovisionamiento por Red Hat del registro de imágenes de contenedores.

Ser responsable de las aplicaciones, los datos y todo el ciclo de vida de las aplicaciones de clientes y terceros.

Si un cliente agrega al clúster servicios de Red Hat, comunitarios, de terceros, propios o de otro tipo mediante operadores o imágenes externas, el cliente es responsable de estos servicios y de trabajar con el proveedor correspondiente (incluido Red Hat) para solucionar cualquier problema.

Utilizar las herramientas y las características proporcionadas para configurar e implementar; mantenerse actualizado; configurar las solicitudes y los límites de recursos; dimensionar el clúster para tener suficientes recursos para ejecutar aplicaciones; configurar permisos; integrarse con otros servicios; administrar cualquier flujo de imágenes o plantillas que el cliente implemente; servir externamente; hacer copias de seguridad, guardar y restaurar datos; y administrar sus cargas de trabajo resilientes y de alta disponibilidad.

Mantenga la responsabilidad de monitorear las aplicaciones en las que se ejecutan Red Hat OpenShift Service en AWS, incluida la instalación y el funcionamiento del software para recopilar métricas, crear alertas y proteger los secretos de la aplicación.