2.9. Comprendre la sécurité pour Red Hat OpenShift Service sur AWS

Red Hat définit et suit une norme de classification des données pour déterminer la sensibilité des données et mettre en évidence le risque inhérent à la confidentialité et à l’intégrité de ces données lors de leur collecte, de leur utilisation, de leur transmission, de leur stockage et de leur traitement. Les données appartenant au client sont classées au plus haut niveau de sensibilité et d’exigences de manipulation.

Le service OpenShift Red Hat sur AWS (ROSA) utilise AWS Key Management Service (KMS) pour aider à gérer en toute sécurité les clés pour les données chiffrées. Ces clés sont utilisées pour le plan de contrôle, l’infrastructure et les volumes de données de travail qui sont cryptés par défaut. Les volumes persistants (PV) pour les applications client utilisent également AWS KMS pour la gestion des clés.

Lorsqu’un client supprime son cluster ROSA, toutes les données de cluster sont définitivement supprimées, y compris les volumes de données de plan de contrôle et les volumes de données d’application client, tels que les volumes persistants (PV).

Le Red Hat effectue une analyse périodique de vulnérabilité de ROSA à l’aide d’outils standard de l’industrie. Les vulnérabilités identifiées sont suivies de leur assainissement en fonction des échéanciers en fonction de la gravité. Les activités d’analyse et d’assainissement des vulnérabilités sont documentées aux fins de vérification par des tiers évaluateurs dans le cadre d’audits de certification de conformité.

Le Red Hat effectue des tests de pénétration périodiques contre ROSA. Les tests sont effectués par une équipe interne indépendante en utilisant des outils standard de l’industrie et des meilleures pratiques.

Les problèmes qui peuvent être découverts sont prioritaires en fonction de la gravité. Les problèmes constatés dans le cadre de projets open source sont partagés avec la communauté aux fins de résolution.

Le service OpenShift Red Hat sur AWS suit les meilleures pratiques de l’industrie en matière de sécurité et de contrôle. Les certifications sont décrites dans le tableau suivant.