の責任の概要 ROSA

ネイティブ OpenShift ルーターサービスを監視し、アラートに対応します。

アプリケーションルートとその背後にあるエンドポイントの正常性を監視します。

AWS および Red Hat に停止を報告します。

デフォルトのプラットフォームネットワーキングに必要な AWS ロードバランサー、 Amazon VPC サブネット、 AWS のサービス コンポーネントをモニタリングします。アラートに対応します。

AWS ロードバランサーエンドポイントのヘルスをモニタリングします。

オプションで VPC Amazon VPCへの接続、接続 Site-to-Site VPN 、または潜在的な問題やセキュリティの脅威を介して設定されるネットワークトラフィック Direct Connect をモニタリングします。

クラスターノードに使用される Amazon EBS ボリュームと、 ROSA サービスの組み込みコンテナイメージレジストリに使用される Amazon S3 バケットをモニタリングします。アラートに対応します。

アプリケーションデータの正常性を監視します。

カスタマーマネージド AWS KMS keys を使用する場合は、 Amazon EBS 暗号化用のキーライフサイクルとキーポリシーを作成して制御します。

AWS インシデントと運用管理の詳細については、 AWS ホワイトペーパーの「 が運用レジリエンスとサービスの継続性 AWS を維持する方法」を参照してください。

カスタマーアカウントの AWS リソースの正常性をモニタリングします。

IAM ツールを使用して、お客様のアカウントの AWS リソースに適切なアクセス許可を適用します。

AWS インシデントと運用管理の詳細については、 AWS ホワイトペーパーの「 が運用レジリエンスとサービスの継続性 AWS を維持する方法」を参照してください。

お客様のアプリケーションとデータを設定、管理、監視して、アプリケーションとデータのセキュリティ制御が適切に実施されていることを確認します。

プラットフォーム監査ログを一元的に集約して監視します。

お客様がデフォルトのアプリケーションログ記録用のログ記録スタックをデプロイできるように、ログ記録オペレーターを提供および管理します。

お客様の要求に応じて監査ログを提供します。

オプションとして、デフォルトのアプリケーションログ記録オペレーターをクラスターにインストールします。

ログ記録サイドカーコンテナやサードパーティのログ記録アプリケーションなど、オプションのアプリケーションログ記録用ソリューションをインストール、設定、保守します。

顧客アプリケーションが生成するアプリケーションログがログ記録スタックやクラスターの安定性に影響する場合は、サイズと頻度を調整してください。

特定のインシデントを調査するために、サポートケースを通じてプラットフォーム監査ログをリクエストしてください。

パブリックロードバランサーをセットアップします。必要に応じて、プライベートロードバランサーと最大 1 つの追加ロードバランサーをセットアップできるようにします。

ネイティブ OpenShift ルーターサービスをセットアップします。ルーターをプライベートに設定し、ルーターシャードを 1 つまで追加できるようにします。

デフォルトの内部ポッドトラフィック用に OpenShift SDN コンポーネントをインストール、設定、保守します。

お客様が NetworkPolicy および EgressNetworkPolicy (ファイアウォール) オブジェクトを管理できるようにします。

NetworkPolicy オブジェクトを使用して、プロジェクトとポッドネットワーク、ポッドの入口、およびポッドの出口に対して、デフォルト以外のポッドネットワーク権限を設定します。

OpenShift Cluster Manager を使用して、デフォルトのアプリケーションルート用のプライベートロードバランサーをリクエストします。

OpenShift Cluster Manager を使用して、パブリックまたはプライベートのルーターシャードとそれに対応するロードバランサーを最大 1 つ追加設定します。

特定のサービス用に、追加のサービスロードバランサーをリクエストして設定します。

必要な DNS 転送ルールを設定します。

パブリックまたはプライベートサービスエンドポイントや必要なコンポーネントとの統合などのクラスター管理 Amazon VPCコンポーネントを設定します。

ワーカー、インフラストラクチャ、コントロールプレーンノード間の内部クラスター通信に必要な内部ネットワークコンポーネントを設定します。

クラスターのプロビジョニング時に OpenShift Cluster Manager を使用して、必要に応じてマシン CIDR、サービス CIDR、ポッド CIDR のデフォルト以外の IP アドレス範囲をオプションで提供します。

クラスターの作成時、または OpenShift Cluster Manager によるクラスター作成後に API サービスエンドポイントをパブリックまたはプライベートにするようリクエストします。

サブネット、ロードバランサー、インターネットゲートウェイ、NAT ゲートウェイなど、クラスターのプロビジョニングに必要な Amazon VPC コンポーネントを設定および設定します。

OpenShift Cluster Manager を使用して、オンプレミスリソースと Site-to-Site VPN の接続、VPC Amazon VPCへの接続、および Direct Connect 必要に応じて を管理できるようにします。

お客様がサービス AWS ロードバランサーで使用するロードバランサーを作成およびデプロイできるようにします。

VPC Amazon VPCへの接続、接続、 Site-to-Site VPN などのオプション Amazon VPC コンポーネントを設定および維持します Direct Connect。

特定のサービス用に、追加のロードバランサーをリクエストして設定します。

クラスターコンピューティングに Amazon EC2 インスタンスを使用するように ROSA コントロールプレーンとデータプレーンを設定および設定します。

クラスター上の Amazon EC2 コントロールプレーンノードとインフラストラクチャノードのデプロイを監視および管理します。

OpenShift クラスターマネージャーまたは CLI を使用してマシンプールを作成して、 Amazon EC2 ワーカーノードをモニタリングおよび管理 ROSA します。

お客様がデプロイしたアプリケーションとアプリケーションデータへの変更を管理します。

アップグレードのスケジュール設定プロセスを有効にします。

アップグレードの進行状況を監視し、発生した問題を解決します。

マイナーアップグレードやメンテナンスアップグレードに関する変更ログとリリースノートを公開します。

メンテナンスバージョンのアップグレードは、即時または将来にスケジュールするか、自動アップグレードを設定できます。

マイナーバージョンアップグレードを確認してスケジュールを設定します。

クラスターバージョンが、サポートされているマイナーバージョンのままであることを確認してください。

お客様のアプリケーションをマイナーバージョンとメンテナンスバージョンでテストして、互換性を確認します。

コントロールプレーンの使用状況を監視します。コントロールプレーンには、コントロールプレーンノードとインフラストラクチャノードが含まれます。

サービス品質を維持するために、コントロールプレーンノードをスケーリングおよびサイズ変更します。

ワーカーノードの使用状況を監視し、必要に応じて自動スケーリング機能を有効にします。

クラスターのスケーリング戦略を決定します。

提供されている OpenShift Cluster Manager コントロールを使用して、必要に応じてワーカーノードを追加または削除します。

クラスターリソース要件に関する Red Hat の通知に対応します。

クラスターのローカルノードストレージと永続ボリュームストレージをプロビジョニング Amazon EBS するように を設定および設定します。

Amazon S3 バケットストレージを使用するように組み込みイメージレジストリを設定および設定します。

でイメージレジストリリソースを定期的にプルーニング Amazon S3 して、 Amazon S3 使用状況とクラスターのパフォーマンスを最適化します。

必要に応じて Amazon EBS 、クラスターに永続的ボリュームをプロビジョニングするように CSI Amazon EFS ドライバーまたは CSI ドライバーを設定します。

ROSA コントロールプレーン、インフラストラクチャ、ワーカーノードに使用される Amazon EC2 サービスを提供します。

ROSA サービスがクラスターのローカルノードストレージと永続ボリュームストレージをプロビジョニングできるように Amazon EBS を指定します。

ROSA 仮想ネットワークインフラストラクチャのニーズを満たすために、次の AWS クラウド サービスを提供します。

次のオプション AWS のサービス の統合を指定します ROSA。

プリンシ IAM パルまたは AWS STS 一時的なセキュリティ認証情報に関連付けられたアクセスキー ID とシークレットアクセスキーを使用してリクエストに署名します。

クラスターの作成時に使用するクラスターの VPC サブネットを指定します。

必要に応じて、 ROSA クラスターで使用するカスタマーマネージド VPC を設定します。

AWS データセンターの管理コントロールの詳細については、 AWS クラウド 「 セキュリティ」ページの「コントロール」を参照してください。

変更管理のベストプラクティスについては、 AWS 「 ソリューションライブラリ」の「 での変更管理のガイダンス AWS」を参照してください。

AWS クラウドでホストされている顧客アプリケーションとデータに変更管理のベストプラクティスを実装します。

プラットフォーム監査ログには、業界標準に基づく段階的な内部アクセスプロセスを遵守してください。

ネイティブの OpenShift RBAC 機能を提供します。

OpenShift RBAC を設定して、プロジェクト、ひいてはプロジェクトのアプリケーションログへのアクセスを制御します。

サードパーティ製またはカスタムのアプリケーションログ記録ソリューションの場合、アクセス管理はお客様の責任となります。

ネイティブの OpenShift RBAC と dedicated-admin 機能を提供します。

必要に応じて、ルート設定へのアクセスを制御するために OpenShift dedicated-admin と RBAC を設定します。

Red Hat の Red Hat 組織管理者を管理して OpenShift Cluster Manager へのアクセス権を付与します。クラスターマネージャーはルーターオプションの設定とサービスロードバランサーのクォータの提供に使用されます。

OpenShift クラスターマネージャーを通じて顧客がアクセス制御を行えるようにします。ネイティブの OpenShift RBAC と dedicated-admin 機能を提供します。

必要に応じて、ルート設定へのアクセスを制御するために OpenShift dedicated-admin と RBAC を設定します。

Red Hat アカウントの Red Hat 組織メンバーシップを管理します。

Red Hat の組織管理者を管理して OpenShift Cluster Manager へのアクセス権を付与します。

OpenShift クラスターマネージャーを通じて顧客がアクセス制御を行えるようにします。

OpenShift Cluster Manager を使用して、 AWS コンポーネントへのオプションのユーザーアクセスを管理します。

OpenShift クラスターマネージャーを通じて顧客がアクセス制御を行えるようにします。

OpenShift Cluster Manager を使用して、 AWS コンポーネントへのオプションのユーザーアクセスを管理します。

ROSA サービスアクセスを有効にするために必要な IAM ロールとアタッチされたポリシーを作成します。

OpenShift クラスターマネージャーを通じて顧客がアクセス制御を行えるようにします。

OpenShift Cluster Manager を使用して、 AWS コンポーネントへのオプションのユーザーアクセスを管理します。

ROSA サービスアクセスを有効にするために必要な IAM ロールとアタッチされたポリシーを作成します。

ROSA コントロールプレーン、インフラストラクチャ、ワーカーノードに使用される Amazon EC2 サービスを提供します。

クラスター ROSA のローカルノードストレージと永続ボリュームストレージのプロビジョニングを に許可する Amazon EBSために使用される を指定します。

サービスの組み込みイメージレジストリ Amazon S3に使用される を指定します。

Provide AWS Identity and Access Management (IAM)。お客様のアカウントで実行されている ROSA リソースへのアクセスを制御するために、お客様が使用します。

ROSA サービスアクセスを有効にするために必要な IAM ロールとアタッチされたポリシーを作成します。

IAM ツールを使用して、お客様のアカウントの AWS リソースに適切なアクセス許可を適用します。

AWS 組織全体 ROSA で を有効にするには、お客様が AWS Organizations 管理者を管理する責任があります。

AWS 組織全体 ROSA で を有効にするには、 を使用して ROSA 使用権限付与を配布する責任があります AWS License Manager。

AWS データセンターの物理アクセスコントロールの詳細については、 AWS クラウド 「 セキュリティ」ページの「コントロール」を参照してください。

お客様は、 AWS グローバルインフラストラクチャについて責任を負いません。

クラスター監査ログを Red Hat SIEM に送信して、セキュリティイベントを分析します。フォレンジック分析に役立つよう、監査ログを一定期間保持します。

セキュリティイベントのアプリケーションログを分析します。

デフォルトのログ記録スタックで提供されているよりも長い保存期間が必要な場合は、ログ記録サイドカーコンテナまたはサードパーティのログ記録アプリケーションを使用してアプリケーションログを外部エンドポイントに送信します。

潜在的な問題やセキュリティ上の脅威について、仮想ネットワークコンポーネントを監視します。

追加のモニタリングと保護には、パブリック AWS ツールを使用します。

潜在的な問題やセキュリティ上の脅威について、任意に設定した仮想ネットワークコンポーネントを監視します。

必要に応じて、必要なファイアウォールルールや顧客データセンターの保護を設定します。

潜在的な問題やセキュリティ上の脅威について、仮想コンピュートコンポーネントを監視します。

追加のモニタリングと保護には、パブリック AWS ツールを使用します。

潜在的な問題やセキュリティ上の脅威について、任意に設定した仮想ネットワークコンポーネントを監視します。

必要に応じて、必要なファイアウォールルールや顧客データセンターの保護を設定します。

潜在的な問題やセキュリティ上の脅威について、仮想ストレージコンポーネントを監視します。

追加のモニタリングと保護には、パブリック AWS ツールを使用します。

Amazon EBS が提供する AWS マネージド KMS キーを使用して、コントロールプレーン、インフラストラクチャ、ワーカーノードボリュームデータをデフォルトで暗号化するように ROSA サービスを設定します。

Amazon EBS が提供する AWS マネージド KMS キーを使用して、デフォルトのストレージクラスを使用するカスタマー永続ボリュームを暗号化するように ROSA サービスを設定します。

お客様がカスタマー管理の を使用して永続ボリューム KMS key を暗号化する機能を提供します。

Amazon S3 マネージドキーによるサーバー側の暗号化 (SSE-3) を使用して、保管中のイメージレジストリデータを暗号化するようにコンテナイメージレジストリを設定します。

顧客がパブリックイメージレジストリまたはプライベート Amazon S3 イメージレジストリを作成して、コンテナイメージを不正なユーザーアクセスから保護できるようにします。

Amazon EBS ボリュームをプロビジョニングします。

Amazon EBS ボリュームストレージを管理し、ボリュームとしてマウントするのに十分なストレージを確保します ROSA。

OpenShift Cluster Manager を使用して永続ボリュームクレームを作成し、永続ボリュームを生成します。

ROSA コントロールプレーン Amazon EC2、インフラストラクチャ、ワーカーノードに使用します。詳細については、「 Amazon EC2 ユーザーガイド」の「 のインフラストラクチャセキュリティ Amazon EC2」を参照してください。

ROSA コントロールプレーン Amazon EBS、インフラストラクチャ、ワーカーノードボリューム、および Kubernetes 永続ボリュームに使用します。詳細については、「 Amazon EC2 ユーザーガイド」の「 でのデータ保護 Amazon EC2」を参照してください。

は、 ROSA を使用してコントロールプレーン AWS KMS、インフラストラクチャ、ワーカーノードボリューム、永続ボリュームを暗号化します。詳細については、「 Amazon EC2 ユーザーガイド」のAmazon EBS 「暗号化」を参照してください。

ROSA サービスの組み込みコンテナイメージレジストリ Amazon S3に使用されます。詳細については、「 Amazon S3 ユーザーガイド」のAmazon S3 「 セキュリティ」を参照してください。

組み込みのネットワークファイアウォール、プライベートネットワーク接続または専用ネットワーク接続 Amazon VPC、 AWS 保護された施設間の AWS グローバルネットワークおよびリージョンネットワーク上のすべてのトラフィックの自動暗号化など、 AWS グローバルインフラストラクチャのプライバシーを強化し、ネットワークアクセスを制御するセキュリティ機能およびサービスを提供します。詳細については、「セキュリティ入門ホワイトペーパー」のAWS 「 責任共有モデルとインフラストラクチャ AWS のセキュリティ」を参照してください。

Amazon EC2 インスタンス上のデータを保護するために、セキュリティのベストプラクティスと最小特権の原則に従っていることを確認します。詳細については、「Amazon EC2におけるインフラストラクチャセキュリティ」および「Amazon EC2におけるデータ保護」を参照してください。

潜在的な問題やセキュリティ上の脅威について、任意に設定した仮想ネットワークコンポーネントを監視します。

必要に応じて、必要なファイアウォールルールや顧客データセンターの保護を設定します。

オプションのカスタマーマネージド KMS キーを作成し、KMS キーを使用して永 Amazon EBS 続ボリュームを暗号化します。

潜在的な問題やセキュリティ上の脅威について、仮想ストレージコンポーネントを監視します。詳細については、AWS 責任共有モデルを参照してください。

がサービス機能を提供するために ROSA 使用する AWS グローバルインフラストラクチャを提供します。 AWS セキュリティコントロールの詳細については、 AWS ホワイトペーパーの AWS 「インフラストラクチャのセキュリティ」を参照してください。

コンプライアンスのニーズを管理し、 AWS Artifact や Security Hub AWS などの AWS ツールを使用して のセキュリティ状態をチェックするためのドキュメントを顧客に提供します。

お客様のアプリケーションとデータを設定、管理、監視して、アプリケーションとデータのセキュリティ制御が適切に実施されていることを確認します。

IAM ツールを使用して、お客様のアカウントの AWS リソースに適切なアクセス許可を適用します。

プラットフォームが機能するために必要な、影響を受ける仮想ネットワークコンポーネントを復元または再作成します。

障害から保護するため、可能な場合は複数のトンネルを使用して仮想ネットワーク接続を設定します。

複数のクラスターでグローバルロードバランサーを使用する場合は、フェイルオーバー DNS と負荷分散を維持してください。

クラスターをモニタリングし、障害が発生した Amazon EC2 コントロールプレーンまたはインフラストラクチャノードを置き換えます。

障害が発生したワーカーノードを手動または自動で交換できるようにします。

OpenShift クラスターマネージャーまたは ROSA CLI を使用してマシンプール設定を編集して、障害が発生した Amazon EC2 ワーカーノードを置き換えます。

IAM ユーザー認証情報を使用して AWS 作成された ROSA クラスターの場合、クラスター上のすべての Kubernetes オブジェクトを時間単位、日単位、週単位のボリュームスナップショットでバックアップします。

顧客アプリケーションとアプリケーションデータをバックアップします。

Amazon EBS スナップショットや などのデータの耐障害性をサポートする Amazon EC2 機能を提供します Amazon EC2 Auto Scaling。詳細については、「 Amazon EC2 ユーザーガイド」の「 の耐障害性 Amazon EC2」を参照してください。

ROSA サービスおよびお客様が Amazon EBS ボリュームスナップショットを使用してクラスター上の Amazon EBS ボリュームをバックアップできるようにします。

データの耐障害性をサポートする Amazon S3 機能の詳細については、「 の耐障害性 Amazon S3」を参照してください。

データの耐障害性をサポートする Amazon VPC 機能の詳細については、「 Amazon VPC ユーザーガイド」の「 の耐障害性 Amazon Virtual Private Cloud」を参照してください。

ROSA マルチ AZ クラスターを設定して、耐障害性とクラスターの可用性を向上させます。

Amazon EBS CSI ドライバーを使用して永続ボリュームをプロビジョニングし、ボリュームスナップショットを有効にします。

永 Amazon EBS 続ボリュームの CSI ボリュームスナップショットを作成します。

がアベイラビリティーゾーン間でコントロールプレーン、インフラストラクチャ、ワーカーノード ROSA をスケールできるようにする AWS グローバルインフラストラクチャを提供します。この機能を使用すると ROSA 、 はゾーン間で自動フェイルオーバーを中断することなくオーケストレーションできます。

ディザスタリカバリのベストプラクティスの詳細については、 AWS Well-Architected フレームワークの「クラウドのディザスタリカバリオプション」を参照してください。

ROSA マルチ AZ クラスターを設定して、耐障害性とクラスターの可用性を向上させます。

業界のセキュリティおよびコンプライアンス基準で定義されているデータ暗号化のプラットフォームレベルの基準を維持してください。

シークレットなどのアプリケーションデータの管理に役立つ OpenShift コンポーネントを提供します。

クラスターの外部や などのデータサービスとの統合を有効に Amazon RDS して、データを保存および管理します AWS。

を Amazon RDS に提供して、お客様がクラスターの外部でデータを保存および管理できるようにします。

プラットフォームに保存されているすべての顧客データ、および顧客アプリケーションがこのデータをどのように消費および公開するかについて、責任を維持します。

OpenShift コンポーネントがインストールされたクラスターをプロビジョニングして、お客様が OpenShift および Kubernetes APIs にアクセスしてコンテナ化されたアプリケーションをデプロイおよび管理できるようにします。

お客様のデプロイが Red Hat Container Catalog レジストリからイメージを取得できるように、イメージプルシークレットを使用してクラスターを作成します。

お客様がコミュニティ、サードパーティー、 AWS Red Hat サービスをクラスターに追加するためのオペレーターの設定に使用できる OpenShift APIs へのアクセスを提供します。

お客様のアプリケーションで使用する永続ボリュームをサポートするためのストレージクラスおよびプラグインを提供します。

コンテナイメージレジストリを提供して、お客様がアプリケーションのコンテナイメージをクラスターに安全に保管し、アプリケーションをデプロイおよび管理できるようにします。

カスタマーアプリケーションで使用する永続ボリュームをサポートするために Amazon EBS を提供します。

コンテナイメージレジストリの Red Hat プロビジョニングをサポートするために Amazon S3 を指定します。

顧客とサードパーティのアプリケーション、データ、およびアプリケーションライフサイクル全体に対する責任を維持します。

お客様が Operator または外部イメージを使用して Red Hat、コミュニティ、サードパーティ、独自のサービス、またはその他のサービスをクラスターに追加した場合、お客様はそれらのサービスについて責任を負うとともに、適切なプロバイダー (Red Hat を含む) と協力して問題のトラブルシューティングを行う責任を負うものとします。

提供されているツールと機能を使用して、設定とデプロイ、最新の状態の維持、リソース要求と制限の設定、アプリケーションを実行するのに十分なリソースを確保するためのクラスターのサイズ設定、権限の設定、他のサービスとの統合、お客様がデプロイするイメージストリームまたはテンプレートの管理、外部への配信、データの保存、バックアップ、復元、および可用性が高く回復力のあるワークロードの管理を行います。

で実行されるアプリケーションをモニタリングする責任を維持します。これには Red Hat OpenShift Service on AWS、メトリクスの収集、アラートの作成、アプリケーション内のシークレットの保護のためのソフトウェアのインストールと運用が含まれます。