翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# の責任の概要 ROSA
<a name="rosa-responsibilities"></a>

このドキュメントでは、 Amazon Web Services (AWS)、Red Hat、および Red Hat OpenShift Service on AWS (ROSA) マネージドサービスのお客様の責任の概要を説明します。 ROSA とそのコンポーネントの詳細については、Red Hat ドキュメントの[「ポリシーとサービス定義](https://access.redhat.com/documentation/en-us/red_hat_openshift_service_on_aws/4/html/introduction_to_rosa/policies-and-service-definition)」を参照してください。

責任[AWS 共有モデルは](https://aws.amazon.com/compliance/shared-responsibility-model)、 で提供されるすべてのサービスを実行するインフラストラクチャを保護する AWS 責任を定義します AWS クラウド ROSA。 AWS インフラストラクチャには、 AWS クラウド サービスを実行するハードウェア、ソフトウェア、ネットワーク、施設が含まれます。この AWS 責任は一般的に「クラウドのセキュリティ」と呼ばれます。フルマネージドサービス ROSA として運用するために、Red Hat とお客様は、 AWS 責任モデルが「クラウド内のセキュリティ」として定義するサービスの要素に責任を負います。

Red Hat は、 ROSA クラスターインフラストラクチャ、基盤となるアプリケーションプラットフォーム、オペレーティングシステムの継続的な管理とセキュリティを担当します。 ROSA クラスターはお客様の AWS リソースでホストされますが AWS アカウント、お客様が作成した IAM ロールを通じて、 ROSA サービスコンポーネントと Red Hat サイト信頼性エンジニア (SREs) によってリモートでアクセスされます。Red Hat はこのアクセスを使用して、クラスター上のすべてのコントロールプレーンとインフラストラクチャノードのデプロイとキャパシティを管理し、コントロールプレーンノード、インフラストラクチャノード、ワーカーノードのバージョンを管理します。

Red Hat とお客様は、 ROSA ネットワーク管理、クラスターのログ記録、クラスターのバージョニング、キャパシティ管理の責任を共有します。Red Hat が ROSA サービスを管理する間、お客様はデプロイ先のアプリケーション、ワークロード、データの管理と保護に全責任を負います ROSA。

## 概要:
<a name="responsibility-overview"></a>

次の表に AWS、Red Hat とお客様の責任の概要を示します Red Hat OpenShift Service on AWS。

**注記**  
`cluster-admin` ロールがユーザーに追加されている場合は、「[Red Hat Enterprise 免責事項の付録 4 (オンラインサブスクリプションサービス)](https://www.redhat.com/en/about/appendices)」の責任と免責事項を参照してください。


|  **[リソース]**  |  **インシデント管理と運用管理**  |  **変更管理**  |  **アクセスと ID 認可**  |  **セキュリティと規制の遵守**  |  **ディザスタリカバリ**  | 
| --- | --- | --- | --- | --- | --- | 
|  **顧客データ**  | カスタマー | カスタマー | カスタマー | カスタマー | お客様 | 
|  **カスタマーアプリケーション**  | カスタマー | カスタマー | カスタマー | カスタマー | お客様 | 
|  **デベロッパー用サービス**  | カスタマー | カスタマー | カスタマー | カスタマー | お客様 | 
|  **プラットフォーム監視**  | Red Hat | Red Hat | Red Hat | Red Hat | Red Hat | 
|  **ログ記録**  | Red Hat | Red Hat とお客様 | Red Hat とお客様 | Red Hat とお客様 | Red Hat | 
|  **アプリケーションネットワーク**  | Red Hat とお客様 | Red Hat とお客様 | Red Hat とお客様 | Red Hat | Red Hat | 
|  **クラスターネットワーク**  | Red Hat | Red Hat とお客様 | Red Hat とお客様 | Red Hat | Red Hat | 
|  **仮想ネットワーク管理**  | Red Hat とお客様 | Red Hat とお客様 | Red Hat とお客様 | Red Hat とお客様 | Red Hat とお客様 | 
|  **仮想コンピューティング管理 (コントロールプレーン、インフラストラクチャ、ワーカーノード)**  | Red Hat | Red Hat | Red Hat | Red Hat | Red Hat | 
|  **クラスターバージョン**  | Red Hat | Red Hat とお客様 | Red Hat | Red Hat | Red Hat | 
|  **キャパシティ管理**  | Red Hat | Red Hat とお客様 | Red Hat | Red Hat | Red Hat | 
|  **仮想ストレージ管理**  | Red Hat | Red Hat | Red Hat | Red Hat | Red Hat | 
|  ** AWS ソフトウェア (パブリック AWS のサービス)**  |  AWS  |  AWS  |  AWS  |  AWS  |  AWS  | 
|  **ハードウェア/AWS グローバルインフラストラクチャ**  |  AWS  |  AWS  |  AWS  |  AWS  |  AWS  | 

## 地域別の責任分担に関するタスク
<a name="responsibility-tasks-by-area"></a>

 AWS、Red Hat、および のお客様は、 ROSA コンポーネントのモニタリングとメンテナンスの責任を共有します。このドキュメントでは、エリアとタスクごとに ROSA サービスの責任を定義します。

### インシデント管理と運用管理
<a name="incident-ops-management"></a>

 AWS は、 で提供されるすべてのサービスを実行するハードウェアインフラストラクチャを保護する責任があります AWS クラウド。Red Hat は、デフォルトプラットフォームネットワークに必要なサービスコンポーネントの管理を担当します。お客様は、お客様のアプリケーションデータ、およびお客様が設定したカスタムネットワークのインシデント管理と運用管理に責任を負います。


|  **[リソース]**  |  **サービス責任**  |  **お客様の責任**  | 
| --- | --- | --- | 
|  **アプリケーションネットワーク**  |  **Red Hat** +  ネイティブ OpenShift ルーターサービスを監視し、アラートに対応します。  |  **お客様** +  アプリケーションルートとその背後にあるエンドポイントの正常性を監視します。 <br />+   AWS および Red Hat に停止を報告します。  | 
|  **仮想ネットワーク管理**  |  **Red Hat** +  デフォルトのプラットフォームネットワーキングに必要な AWS ロードバランサー、 Amazon VPC サブネット、 AWS のサービス コンポーネントをモニタリングします。アラートに対応します。  |  **お客様** +   AWS ロードバランサーエンドポイントのヘルスをモニタリングします。 <br />+  オプションで VPC Amazon VPCへの接続、接続 Site-to-Site VPN 、または潜在的な問題やセキュリティの脅威を介して設定されるネットワークトラフィック Direct Connect をモニタリングします。  | 
|  **仮想ストレージ管理**  |  **Red Hat** +  クラスターノードに使用される Amazon EBS ボリュームと、 ROSA サービスの組み込みコンテナイメージレジストリに使用される Amazon S3 バケットをモニタリングします。アラートに対応します。  |  **お客様** +  アプリケーションデータの正常性を監視します。 <br />+  カスタマーマネージド AWS KMS keys を使用する場合は、 Amazon EBS 暗号化用のキーライフサイクルとキーポリシーを作成して制御します。  | 
|  ** AWS ソフトウェア (パブリック AWS のサービス)**  |  ** AWS ** +   AWS インシデントと運用管理の詳細については、 AWS ホワイトペーパーの[「 が運用レジリエンスとサービスの継続性 AWS を維持する](https://docs.aws.amazon.com/whitepapers/latest/aws-operational-resilience/how-aws-maintains-operational-resilience-and-continuity-of-service.html#incident-management)方法」を参照してください。  |  **お客様** +  カスタマーアカウントの AWS リソースの正常性をモニタリングします。 <br />+   IAM ツールを使用して、お客様のアカウントの AWS リソースに適切なアクセス許可を適用します。  | 
|  **ハードウェア/AWS グローバルインフラストラクチャ**  |  ** AWS ** +   AWS インシデントと運用管理の詳細については、 AWS ホワイトペーパーの[「 が運用レジリエンスとサービスの継続性 AWS を維持する](https://docs.aws.amazon.com/whitepapers/latest/aws-operational-resilience/how-aws-maintains-operational-resilience-and-continuity-of-service.html#incident-management)方法」を参照してください。  |  **お客様** +  お客様のアプリケーションとデータを設定、管理、監視して、アプリケーションとデータのセキュリティ制御が適切に実施されていることを確認します。  | 

### 変更管理
<a name="change-management"></a>

 AWS は、 で提供されるすべてのサービスを実行するハードウェアインフラストラクチャを保護する責任があります AWS クラウド。Red Hat は、コントロールプレーンノード、インフラストラクチャノード、ワーカーノードのバージョン管理だけでなく、お客様が管理するクラスターインフラストラクチャとサービスへの変更を可能にすることにも責任を負います。インフラストラクチャの変更を開始する責任はお客様にあります。また、オプションサービスのインストールと保守、クラスター上のネットワーク構成、顧客データやアプリケーションの変更もお客様の責任となります。


|  **[リソース]**  |  **サービス責任**  |  **お客様の責任**  | 
| --- | --- | --- | 
|  **ログ記録**  |  **Red Hat** +  プラットフォーム監査ログを一元的に集約して監視します。 <br />+  お客様がデフォルトのアプリケーションログ記録用のログ記録スタックをデプロイできるように、ログ記録オペレーターを提供および管理します。 <br />+  お客様の要求に応じて監査ログを提供します。  |  **お客様** +  オプションとして、デフォルトのアプリケーションログ記録オペレーターをクラスターにインストールします。 <br />+  ログ記録サイドカーコンテナやサードパーティのログ記録アプリケーションなど、オプションのアプリケーションログ記録用ソリューションをインストール、設定、保守します。 <br />+  顧客アプリケーションが生成するアプリケーションログがログ記録スタックやクラスターの安定性に影響する場合は、サイズと頻度を調整してください。 <br />+  特定のインシデントを調査するために、サポートケースを通じてプラットフォーム監査ログをリクエストしてください。  | 
|  **アプリケーションネットワーク**  |  **Red Hat** +  パブリックロードバランサーをセットアップします。必要に応じて、プライベートロードバランサーと最大 1 つの追加ロードバランサーをセットアップできるようにします。 <br />+  ネイティブ OpenShift ルーターサービスをセットアップします。ルーターをプライベートに設定し、ルーターシャードを 1 つまで追加できるようにします。 <br />+  デフォルトの内部ポッドトラフィック用に OpenShift SDN コンポーネントをインストール、設定、保守します。 <br />+  お客様が `NetworkPolicy` および `EgressNetworkPolicy` (ファイアウォール) オブジェクトを管理できるようにします。  |  **お客様** +  `NetworkPolicy` オブジェクトを使用して、プロジェクトとポッドネットワーク、ポッドの入口、およびポッドの出口に対して、デフォルト以外のポッドネットワーク権限を設定します。 <br />+  OpenShift Cluster Manager を使用して、デフォルトのアプリケーションルート用のプライベートロードバランサーをリクエストします。 <br />+  OpenShift Cluster Manager を使用して、パブリックまたはプライベートのルーターシャードとそれに対応するロードバランサーを最大 1 つ追加設定します。 <br />+  特定のサービス用に、追加のサービスロードバランサーをリクエストして設定します。 <br />+  必要な DNS 転送ルールを設定します。  | 
|  **クラスターネットワーク**  |  **Red Hat** +  パブリックまたはプライベートサービスエンドポイントや必要なコンポーネントとの統合などのクラスター管理 Amazon VPCコンポーネントを設定します。 <br />+  ワーカー、インフラストラクチャ、コントロールプレーンノード間の内部クラスター通信に必要な内部ネットワークコンポーネントを設定します。  |  **お客様** +  クラスターのプロビジョニング時に OpenShift Cluster Manager を使用して、必要に応じてマシン CIDR、サービス CIDR、ポッド CIDR のデフォルト以外の IP アドレス範囲をオプションで提供します。 <br />+  クラスターの作成時、または OpenShift Cluster Manager によるクラスター作成後に API サービスエンドポイントをパブリックまたはプライベートにするようリクエストします。  | 
|  **仮想ネットワーク管理**  |  **Red Hat** +  サブネット、ロードバランサー、インターネットゲートウェイ、NAT ゲートウェイなど、クラスターのプロビジョニングに必要な Amazon VPC コンポーネントを設定および設定します。 <br />+  OpenShift Cluster Manager を使用して、オンプレミスリソースと Site-to-Site VPN の接続、VPC Amazon VPCへの接続、および Direct Connect 必要に応じて を管理できるようにします。 <br />+  お客様がサービス AWS ロードバランサーで使用するロードバランサーを作成およびデプロイできるようにします。  |  **お客様** +  VPC Amazon VPCへの接続、接続、 Site-to-Site VPN などのオプション Amazon VPC コンポーネントを設定および維持します Direct Connect。 <br />+  特定のサービス用に、追加のロードバランサーをリクエストして設定します。  | 
|  **仮想コンピュート管理**  |  **Red Hat** +  クラスターコンピューティングに Amazon EC2 インスタンスを使用するように ROSA コントロールプレーンとデータプレーンを設定および設定します。 <br />+  クラスター上の Amazon EC2 コントロールプレーンノードとインフラストラクチャノードのデプロイを監視および管理します。  |  **お客様** +  OpenShift クラスターマネージャーまたは CLI を使用してマシンプールを作成して、 Amazon EC2 ワーカーノードをモニタリングおよび管理 ROSA します。 <br />+  お客様がデプロイしたアプリケーションとアプリケーションデータへの変更を管理します。  | 
|  **クラスターバージョン**  |  **Red Hat** +  アップグレードのスケジュール設定プロセスを有効にします。 <br />+  アップグレードの進行状況を監視し、発生した問題を解決します。 <br />+  マイナーアップグレードやメンテナンスアップグレードに関する変更ログとリリースノートを公開します。  |  **お客様** +  メンテナンスバージョンのアップグレードは、即時または将来にスケジュールするか、自動アップグレードを設定できます。 <br />+  マイナーバージョンアップグレードを確認してスケジュールを設定します。 <br />+  クラスターバージョンが、サポートされているマイナーバージョンのままであることを確認してください。 <br />+  お客様のアプリケーションをマイナーバージョンとメンテナンスバージョンでテストして、互換性を確認します。  | 
|  **キャパシティ管理**  |  **Red Hat** +  コントロールプレーンの使用状況を監視します。コントロールプレーンには、コントロールプレーンノードとインフラストラクチャノードが含まれます。 <br />+  サービス品質を維持するために、コントロールプレーンノードをスケーリングおよびサイズ変更します。  |  **お客様** +  ワーカーノードの使用状況を監視し、必要に応じて自動スケーリング機能を有効にします。 <br />+  クラスターのスケーリング戦略を決定します。 <br />+  提供されている OpenShift Cluster Manager コントロールを使用して、必要に応じてワーカーノードを追加または削除します。 <br />+  クラスターリソース要件に関する Red Hat の通知に対応します。  | 
|  **仮想ストレージ管理**  |  **Red Hat** +  クラスターのローカルノードストレージと永続ボリュームストレージをプロビジョニング Amazon EBS するように を設定および設定します。 <br />+   Amazon S3 バケットストレージを使用するように組み込みイメージレジストリを設定および設定します。 <br />+  でイメージレジストリリソースを定期的にプルーニング Amazon S3 して、 Amazon S3 使用状況とクラスターのパフォーマンスを最適化します。  |  **お客様** +  必要に応じて Amazon EBS 、クラスターに永続的ボリュームをプロビジョニングするように CSI Amazon EFS ドライバーまたは CSI ドライバーを設定します。  | 
|  ** AWS ソフトウェア (パブリック AWS サービス)**  |  ** AWS ** <br /> **コンピューティング** +   ROSA コントロールプレーン、インフラストラクチャ、ワーカーノードに使用される Amazon EC2 サービスを提供します。 <br /> [**Storage (ストレージ)**] +   ROSA サービスがクラスターのローカルノードストレージと永続ボリュームストレージをプロビジョニングできるように Amazon EBS を指定します。 <br /> **ネットワーク** +   ROSA 仮想ネットワークインフラストラクチャのニーズを満たすために、次の AWS クラウド サービスを提供します。    Amazon VPC     Elastic Load Balancing     IAM    <br />+  次のオプション AWS のサービス の統合を指定します ROSA。    Site-to-Site VPN     Direct Connect     AWS PrivateLink     AWS Transit Gateway     |  **お客様** +  プリンシ IAM パルまたは AWS STS 一時的なセキュリティ認証情報に関連付けられたアクセスキー ID とシークレットアクセスキーを使用してリクエストに署名します。 <br />+  クラスターの作成時に使用するクラスターの VPC サブネットを指定します。 <br />+  必要に応じて、 ROSA クラスターで使用するカスタマーマネージド VPC を設定します。  | 
|  **ハードウェア/AWS グローバルインフラストラクチャ**  |  ** AWS ** +   AWS データセンターの管理コントロールの詳細については、 AWS クラウド 「 セキュリティ」ページの[「コントロール](https://aws.amazon.com/compliance/data-center/controls)」を参照してください。 <br />+  変更管理のベストプラクティスについては、 AWS 「 ソリューションライブラリ[」の「 での変更管理のガイダンス AWS](https://aws.amazon.com/solutions/guidance/change-management-on-aws)」を参照してください。  |  **お客様** +   AWS クラウドでホストされている顧客アプリケーションとデータに変更管理のベストプラクティスを実装します。  | 

### アクセスと ID 認可
<a name="access-identity-auth"></a>

アクセスと ID の認可には、クラスタ、アプリケーション、インフラストラクチャリソースへの許可されたアクセスを管理する責任が含まれます。これには、アクセス制御メカニズムの提供、認証、認可、リソースへのアクセスの管理などのタスクが含まれます。


|  **[リソース]**  |  **サービス責任**  |  **お客様の責任**  | 
| --- | --- | --- | 
|  **ログ記録**  |  **Red Hat** +  プラットフォーム監査ログには、業界標準に基づく段階的な内部アクセスプロセスを遵守してください。 <br />+  ネイティブの OpenShift RBAC 機能を提供します。  |  **お客様** +  OpenShift RBAC を設定して、プロジェクト、ひいてはプロジェクトのアプリケーションログへのアクセスを制御します。 <br />+  サードパーティ製またはカスタムのアプリケーションログ記録ソリューションの場合、アクセス管理はお客様の責任となります。  | 
|  **アプリケーションネットワーク**  |  **Red Hat** +  ネイティブの OpenShift RBAC と `dedicated-admin` 機能を提供します。  |  **お客様** +  必要に応じて、ルート設定へのアクセスを制御するために OpenShift `dedicated-admin` と RBAC を設定します。 <br />+  Red Hat の Red Hat 組織管理者を管理して OpenShift Cluster Manager へのアクセス権を付与します。クラスターマネージャーはルーターオプションの設定とサービスロードバランサーのクォータの提供に使用されます。  | 
|  **クラスターネットワーク**  |  **Red Hat** +  OpenShift クラスターマネージャーを通じて顧客がアクセス制御を行えるようにします。ネイティブの OpenShift RBAC と `dedicated-admin` 機能を提供します。  |  **お客様** +  必要に応じて、ルート設定へのアクセスを制御するために OpenShift `dedicated-admin` と RBAC を設定します。 <br />+  Red Hat アカウントの Red Hat 組織メンバーシップを管理します。 <br />+  Red Hat の組織管理者を管理して OpenShift Cluster Manager へのアクセス権を付与します。  | 
|  **仮想ネットワーク管理**  |  **Red Hat** +  OpenShift クラスターマネージャーを通じて顧客がアクセス制御を行えるようにします。  |  **お客様** +  OpenShift Cluster Manager を使用して、 AWS コンポーネントへのオプションのユーザーアクセスを管理します。  | 
|  **仮想コンピュート管理**  |  **Red Hat** +  OpenShift クラスターマネージャーを通じて顧客がアクセス制御を行えるようにします。  |  **お客様** +  OpenShift Cluster Manager を使用して、 AWS コンポーネントへのオプションのユーザーアクセスを管理します。 <br />+   ROSA サービスアクセスを有効にするために必要な IAM ロールとアタッチされたポリシーを作成します。  | 
|  **仮想ストレージ管理**  |  **Red Hat** +  OpenShift クラスターマネージャーを通じて顧客がアクセス制御を行えるようにします。  |  **お客様** +  OpenShift Cluster Manager を使用して、 AWS コンポーネントへのオプションのユーザーアクセスを管理します。 <br />+   ROSA サービスアクセスを有効にするために必要な IAM ロールとアタッチされたポリシーを作成します。  | 
|  ** AWS ソフトウェア (パブリック AWS サービス)**  |  ** AWS ** <br /> **コンピューティング** +   ROSA コントロールプレーン、インフラストラクチャ、ワーカーノードに使用される Amazon EC2 サービスを提供します。 <br /> [**Storage (ストレージ)**] +  クラスター ROSA のローカルノードストレージと永続ボリュームストレージのプロビジョニングを に許可する Amazon EBSために使用される を指定します。 <br />+  サービスの組み込みイメージレジストリ Amazon S3に使用される を指定します。 <br /> **ネットワーク** +  Provide AWS Identity and Access Management (IAM)。お客様のアカウントで実行されている ROSA リソースへのアクセスを制御するために、お客様が使用します。  |  **お客様** +   ROSA サービスアクセスを有効にするために必要な IAM ロールとアタッチされたポリシーを作成します。 <br />+   IAM ツールを使用して、お客様のアカウントの AWS リソースに適切なアクセス許可を適用します。 <br />+   AWS 組織全体 ROSA で を有効にするには、お客様が AWS Organizations 管理者を管理する責任があります。 <br />+   AWS 組織全体 ROSA で を有効にするには、 を使用して ROSA 使用権限付与を配布する責任があります AWS License Manager。  | 
|  **ハードウェア/AWS グローバルインフラストラクチャ**  |  ** AWS ** +   AWS データセンターの物理アクセスコントロールの詳細については、 AWS クラウド 「 セキュリティ」ページの[「コントロール](https://aws.amazon.com/compliance/data-center/controls)」を参照してください。  |  **お客様** +  お客様は、 AWS グローバルインフラストラクチャについて責任を負いません。  | 

### セキュリティと規制の遵守
<a name="security-regulation-compliance"></a>

次に、コンプライアンスに関連する責任と統制を示します。


|  **[リソース]**  |  **サービス責任**  |  **お客様の責任**  | 
| --- | --- | --- | 
|  **ログ記録**  |  **Red Hat** +  クラスター監査ログを Red Hat SIEM に送信して、セキュリティイベントを分析します。フォレンジック分析に役立つよう、監査ログを一定期間保持します。  |  **お客様** +  セキュリティイベントのアプリケーションログを分析します。 <br />+  デフォルトのログ記録スタックで提供されているよりも長い保存期間が必要な場合は、ログ記録サイドカーコンテナまたはサードパーティのログ記録アプリケーションを使用してアプリケーションログを外部エンドポイントに送信します。  | 
|  **仮想ネットワーク管理**  |  **Red Hat** +  潜在的な問題やセキュリティ上の脅威について、仮想ネットワークコンポーネントを監視します。 <br />+  追加のモニタリングと保護には、パブリック AWS ツールを使用します。  |  **お客様** +  潜在的な問題やセキュリティ上の脅威について、任意に設定した仮想ネットワークコンポーネントを監視します。 <br />+  必要に応じて、必要なファイアウォールルールや顧客データセンターの保護を設定します。  | 
|  **仮想コンピュート管理**  |  **Red Hat** +  潜在的な問題やセキュリティ上の脅威について、仮想コンピュートコンポーネントを監視します。 <br />+  追加のモニタリングと保護には、パブリック AWS ツールを使用します。  |  **お客様** +  潜在的な問題やセキュリティ上の脅威について、任意に設定した仮想ネットワークコンポーネントを監視します。 <br />+  必要に応じて、必要なファイアウォールルールや顧客データセンターの保護を設定します。  | 
|  **仮想ストレージ管理**  |  **Red Hat** +  潜在的な問題やセキュリティ上の脅威について、仮想ストレージコンポーネントを監視します。 <br />+  追加のモニタリングと保護には、パブリック AWS ツールを使用します。 <br />+   Amazon EBS が提供する AWS マネージド KMS キーを使用して、コントロールプレーン、インフラストラクチャ、ワーカーノードボリュームデータをデフォルトで暗号化するように ROSA サービスを設定します。 <br />+   Amazon EBS が提供する AWS マネージド KMS キーを使用して、デフォルトのストレージクラスを使用するカスタマー永続ボリュームを暗号化するように ROSA サービスを設定します。 <br />+  お客様がカスタマー管理の を使用して永続ボリューム KMS key を暗号化する機能を提供します。 <br />+   Amazon S3 マネージドキーによるサーバー側の暗号化 (SSE-3) を使用して、保管中のイメージレジストリデータを暗号化するようにコンテナイメージレジストリを設定します。 <br />+  顧客がパブリックイメージレジストリまたはプライベート Amazon S3 イメージレジストリを作成して、コンテナイメージを不正なユーザーアクセスから保護できるようにします。  |  **お客様** +   Amazon EBS ボリュームをプロビジョニングします。 <br />+   Amazon EBS ボリュームストレージを管理し、ボリュームとしてマウントするのに十分なストレージを確保します ROSA。 <br />+  OpenShift Cluster Manager を使用して永続ボリュームクレームを作成し、永続ボリュームを生成します。  | 
|  ** AWS ソフトウェア (パブリック AWS サービス)**  |  ** AWS ** <br /> **コンピューティング** +   ROSA コントロールプレーン Amazon EC2、インフラストラクチャ、ワーカーノードに使用します。詳細については、「 Amazon EC2 ユーザーガイド」の「 [のインフラストラクチャセキュリティ Amazon EC2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/infrastructure-security.html)」を参照してください。 <br /> [**Storage (ストレージ)**] +   ROSA コントロールプレーン Amazon EBS、インフラストラクチャ、ワーカーノードボリューム、および Kubernetes 永続ボリュームに使用します。詳細については、「 Amazon EC2 ユーザーガイド」の「 [でのデータ保護 Amazon EC2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html)」を参照してください。 <br />+  は、 ROSA を使用してコントロールプレーン AWS KMS、インフラストラクチャ、ワーカーノードボリューム、永続ボリュームを暗号化します。詳細については、「 Amazon EC2 ユーザーガイド」の[Amazon EBS 「暗号化](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-encryption.html)」を参照してください。 <br />+  ROSA サービスの組み込みコンテナイメージレジストリ Amazon S3に使用されます。詳細については、「 Amazon S3 ユーザーガイド」の[Amazon S3 「 セキュリティ](https://docs.aws.amazon.com/AmazonS3/latest/userguide/security.html)」を参照してください。 <br /> **ネットワーク** +  組み込みのネットワークファイアウォール、プライベートネットワーク接続または専用ネットワーク接続 Amazon VPC、 AWS 保護された施設間の AWS グローバルネットワークおよびリージョンネットワーク上のすべてのトラフィックの自動暗号化など、 AWS グローバルインフラストラクチャのプライバシーを強化し、ネットワークアクセスを制御するセキュリティ機能およびサービスを提供します。詳細については、「セキュリティ入門ホワイトペーパー」の[AWS 「 責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model)と[インフラストラクチャ](https://docs.aws.amazon.com/whitepapers/latest/introduction-aws-security/infrastructure-security.html) AWS のセキュリティ」を参照してください。  |  **お客様** +   Amazon EC2 インスタンス上のデータを保護するために、セキュリティのベストプラクティスと最小特権の原則に従っていることを確認します。詳細については、「[Amazon EC2におけるインフラストラクチャセキュリティ](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/infrastructure-security.html)」および「[Amazon EC2におけるデータ保護](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html)」を参照してください。 <br />+  潜在的な問題やセキュリティ上の脅威について、任意に設定した仮想ネットワークコンポーネントを監視します。 <br />+  必要に応じて、必要なファイアウォールルールや顧客データセンターの保護を設定します。 <br />+  オプションのカスタマーマネージド KMS キーを作成し、KMS キーを使用して永 Amazon EBS 続ボリュームを暗号化します。 <br />+  潜在的な問題やセキュリティ上の脅威について、仮想ストレージコンポーネントを監視します。詳細については、[AWS 責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model)を参照してください。  | 
|  **ハードウェア/AWS グローバルインフラストラクチャ**  |  ** AWS ** +  がサービス機能を提供するために ROSA 使用する AWS グローバルインフラストラクチャを提供します。 AWS セキュリティコントロールの詳細については、 AWS ホワイトペーパー[の AWS 「インフラストラクチャのセキュリティ](https://docs.aws.amazon.com/whitepapers/latest/introduction-aws-security/security-of-the-aws-infrastructure.html)」を参照してください。 <br />+  コンプライアンスのニーズを管理し、 AWS Artifact や Security Hub AWS などの AWS ツールを使用して のセキュリティ状態をチェックするためのドキュメントを顧客に提供します。  |  **お客様** +  お客様のアプリケーションとデータを設定、管理、監視して、アプリケーションとデータのセキュリティ制御が適切に実施されていることを確認します。 <br />+   IAM ツールを使用して、お客様のアカウントの AWS リソースに適切なアクセス許可を適用します。  | 

### ディザスタリカバリ
<a name="disaster-recovery"></a>

ディザスタリカバリには、データと設定のバックアップ、ディザスタリカバリ環境のデータ複製と設定、および障害発生時のフェイルオーバーが含まれます。


|  **[リソース]**  |  **サービス責任**  |  **お客様の責任**  | 
| --- | --- | --- | 
|  **仮想ネットワーク管理**  |  **Red Hat** +  プラットフォームが機能するために必要な、影響を受ける仮想ネットワークコンポーネントを復元または再作成します。  |  **お客様** +  障害から保護するため、可能な場合は複数のトンネルを使用して仮想ネットワーク接続を設定します。 <br />+  複数のクラスターでグローバルロードバランサーを使用する場合は、フェイルオーバー DNS と負荷分散を維持してください。  | 
|  **仮想コンピュート管理**  |  **Red Hat** +  クラスターをモニタリングし、障害が発生した Amazon EC2 コントロールプレーンまたはインフラストラクチャノードを置き換えます。 <br />+  障害が発生したワーカーノードを手動または自動で交換できるようにします。  |  **お客様** +  OpenShift クラスターマネージャーまたは ROSA CLI を使用してマシンプール設定を編集して、障害が発生した Amazon EC2 ワーカーノードを置き換えます。  | 
|  **仮想ストレージ管理**  |  **Red Hat** +   IAM ユーザー認証情報を使用して AWS 作成された ROSA クラスターの場合、クラスター上のすべての Kubernetes オブジェクトを時間単位、日単位、週単位のボリュームスナップショットでバックアップします。  |  **お客様** +  顧客アプリケーションとアプリケーションデータをバックアップします。  | 
|  ** AWS ソフトウェア (パブリック AWS サービス)**  |  ** AWS ** <br /> **コンピューティング** +   Amazon EBS スナップショットや などのデータの耐障害性をサポートする Amazon EC2 機能を提供します Amazon EC2 Auto Scaling。詳細については、「 Amazon EC2 ユーザーガイド」の[「 の耐障害性 Amazon EC2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/disaster-recovery-resiliency.html)」を参照してください。 <br /> [**Storage (ストレージ)**] +   ROSA サービスおよびお客様が Amazon EBS ボリュームスナップショットを使用してクラスター上の Amazon EBS ボリュームをバックアップできるようにします。 <br />+  データの耐障害性をサポートする Amazon S3 機能の詳細については、[「 の耐障害性 Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/disaster-recovery-resiliency.html)」を参照してください。 <br /> **ネットワーク** +  データの耐障害性をサポートする Amazon VPC 機能の詳細については、「 Amazon VPC ユーザーガイド」の[「 の耐障害性 Amazon Virtual Private Cloud](https://docs.aws.amazon.com/vpc/latest/userguide/disaster-recovery-resiliency.html)」を参照してください。  |  **お客様** +   ROSA マルチ AZ クラスターを設定して、耐障害性とクラスターの可用性を向上させます。 <br />+   Amazon EBS CSI ドライバーを使用して永続ボリュームをプロビジョニングし、ボリュームスナップショットを有効にします。 <br />+  永 Amazon EBS 続ボリュームの CSI ボリュームスナップショットを作成します。  | 
|  **ハードウェア/AWS グローバルインフラストラクチャ**  |  ** AWS ** +  がアベイラビリティーゾーン間でコントロールプレーン、インフラストラクチャ、ワーカーノード ROSA をスケールできるようにする AWS グローバルインフラストラクチャを提供します。この機能を使用すると ROSA 、 はゾーン間で自動フェイルオーバーを中断することなくオーケストレーションできます。 <br />+  ディザスタリカバリのベストプラクティスの詳細については、 AWS Well-Architected フレームワークの[「クラウドのディザスタリカバリオプション](https://docs.aws.amazon.com/whitepapers/latest/disaster-recovery-workloads-on-aws/disaster-recovery-options-in-the-cloud.html)」を参照してください。  |  **お客様** +   ROSA マルチ AZ クラスターを設定して、耐障害性とクラスターの可用性を向上させます。  | 

## データとアプリケーションに対するお客様の責任
<a name="customer-responsibilities"></a>

お客様は、デプロイ先のアプリケーション、ワークロード、データに対して責任を負います Red Hat OpenShift Service on AWS。ただし、 AWS Red Hat には、お客様がプラットフォーム上のデータとアプリケーションを管理するのに役立つさまざまなツールが用意されています。


|  **[リソース]**  |  ** AWS と Red Hat がどのように役立つか**  |  **お客様の責任**  | 
| --- | --- | --- | 
|  **顧客データ**  |  **Red Hat** +  業界のセキュリティおよびコンプライアンス基準で定義されているデータ暗号化のプラットフォームレベルの基準を維持してください。 <br />+  シークレットなどのアプリケーションデータの管理に役立つ OpenShift コンポーネントを提供します。 <br />+  クラスターの外部や などのデータサービスとの統合を有効に Amazon RDS して、データを保存および管理します AWS。 <br /> ** AWS ** +  を Amazon RDS に提供して、お客様がクラスターの外部でデータを保存および管理できるようにします。  |  **お客様** +  プラットフォームに保存されているすべての顧客データ、および顧客アプリケーションがこのデータをどのように消費および公開するかについて、責任を維持します。  | 
|  **カスタマーアプリケーション**  |  **Red Hat** +  OpenShift コンポーネントがインストールされたクラスターをプロビジョニングして、お客様が OpenShift および Kubernetes APIs にアクセスしてコンテナ化されたアプリケーションをデプロイおよび管理できるようにします。 <br />+  お客様のデプロイが Red Hat Container Catalog レジストリからイメージを取得できるように、イメージプルシークレットを使用してクラスターを作成します。 <br />+  お客様がコミュニティ、サードパーティー、 AWS Red Hat サービスをクラスターに追加するためのオペレーターの設定に使用できる OpenShift APIs へのアクセスを提供します。 <br />+  お客様のアプリケーションで使用する永続ボリュームをサポートするためのストレージクラスおよびプラグインを提供します。 <br />+  コンテナイメージレジストリを提供して、お客様がアプリケーションのコンテナイメージをクラスターに安全に保管し、アプリケーションをデプロイおよび管理できるようにします。 <br /> ** AWS ** +  カスタマーアプリケーションで使用する永続ボリュームをサポートするために Amazon EBS を提供します。 <br />+  コンテナイメージレジストリの Red Hat プロビジョニングをサポートするために Amazon S3 を指定します。  |  **お客様** +  顧客とサードパーティのアプリケーション、データ、およびアプリケーションライフサイクル全体に対する責任を維持します。 <br />+  お客様が Operator または外部イメージを使用して Red Hat、コミュニティ、サードパーティ、独自のサービス、またはその他のサービスをクラスターに追加した場合、お客様はそれらのサービスについて責任を負うとともに、適切なプロバイダー (Red Hat を含む) と協力して問題のトラブルシューティングを行う責任を負うものとします。 <br />+  提供されているツールと機能を使用して、[設定とデプロイ](https://docs.openshift.com/container-platform/4.13/architecture/understanding-development.html)、[最新の状態の維持](https://docs.openshift.com/container-platform/4.13/applications/deployments/deployment-strategies.html)、[リソース要求と制限の設定](https://docs.openshift.com/dedicated/welcome/index.html)、[アプリケーションを実行するのに十分なリソースを確保するためのクラスターのサイズ設定](https://docs.openshift.com/dedicated/welcome/index.html)、[権限の設定](https://docs.openshift.com/dedicated/welcome/index.html)、他のサービスとの統合、[お客様がデプロイするイメージストリームまたはテンプレートの管理](https://docs.openshift.com/container-platform/4.13/openshift_images/image-streams-manage.html)、[外部への配信](https://docs.openshift.com/dedicated/welcome/index.html)、データの保存、バックアップ、復元、および可用性が高く回復力のあるワークロードの管理を行います。 <br />+  で実行されるアプリケーションをモニタリングする責任を維持します。これには Red Hat OpenShift Service on AWS、メトリクスの収集、アラートの作成、アプリケーション内のシークレットの保護のためのソフトウェアのインストールと運用が含まれます。  |