第 17 章 ROSA 入门

在 ROSA 中，您可以捆绑部署和管理容器所需的所有内容，包括容器管理、Operator、网络、负载均衡、服务网格、CI/CD、防火墙、监控、registry、身份验证和授权功能。这些组件共同测试，以统一操作作为完整的平台。自动化集群操作，包括无线平台升级，进一步增强了 Kubernetes 体验。

通常，集群部署和 upkeep 是红帽的职责，而应用程序、用户和数据是客户的职责。有关职责的详细分类，请参阅 责任列表。

访问 ROSA 路线图 以保持最新状态，以及当前开发中的功能状态。如果您对产品团队有任何建议，请创建一个新问题。

有关 ROSA 可用的最新视图，请参阅 产品区域可用性 页面。

ROSA 目前符合 SOC-2 类型 2、SOC 3、ISO-27001、ISO 27017、ISO 27018、HIPAA、GDPR 和 PCI-DSS。我们目前还致力于 FedRAMP High。

除了访问所有用户创建项目外，ROSA 客户管理员可以管理用户和配额。

ROSA 是一个基于 OpenShift Container Platform 的受管服务。您可以在 ROSA 文档中 查看当前版本和生命周期日期。

客户可以升级到 OpenShift 的最新版本，并使用来自该 OpenShift 版本的功能。如需更多信息，请参阅 生命周期日期。并非所有 OpenShift 功能都可用于 ROSA。如需更多信息，请参阅 服务定义。

您可以直接从 OpenShift Cluster Manager 打开 ticket。有关获取支持的详情，请参阅 ROSA 支持文档。

您还可以访问 红帽客户门户网站来搜索 或浏览与红帽产品相关的文章和解决方案，或向红帽支持提交支持问题单。

详情请查看 ROSA SLA 页面。

红帽将通过电子邮件和混合云控制台服务日志提供有关新红帽和 AWS 功能、更新和计划的维护通知。

您可以将 OSBA 与 ROSA 搭配使用。但是，首选方法是 Kubernetes 的最新 AWS Controller。如需有关 OSBA 的更多信息，请参阅 AWS 的 Open Service Broker。

客户可以随时停止使用 ROSA，并将其应用程序迁移到内部、私有云或其他云供应商。标准保留实例(RI)策略适用于未使用的 RI。

ROSA 支持以下身份验证机制：OpenID Connect (OAuth2 的配置集)、Google OAuth、GitHub OAuth、GitLab 和 LDAP。

所有 SRE 集群访问都由 MFA 保护。如需了解更多详细信息，请参阅 SRE 访问。

ROSA 使用几个不同的云服务，如虚拟机、存储和负载均衡器。您可以在 AWS 先决条件 中看到定义的列表。

有两种凭证方法可以授予红帽在 AWS 帐户中执行所需操作所需的权限：带有 STS 的 AWS 或具有 admin 权限的 IAM 用户。使用 STS 的 AWS 是首选的方法，IAM 用户方法最终会被弃用。AWS 与 STS 更好地与云服务资源管理中最低特权和安全实践的原则保持一致。

检查 ROSA CLI 的更新版本。ROSA CLI 的每个发行版本都位于两个位置：Github 和红帽签名的二进制版本。https://github.com/openshift/rosa/releases

请参阅服务定义的 storage 部分。

OpenShift 包含 AWS EFS 的 CSI 驱动程序。如需更多信息，请参阅 在 AWS 上为 Red Hat OpenShift Service 设置 AWS EFS。

安装时，您可以选择部署到现有的 VPC 或拥有您自己的 VPC。然后，您可以选择所需的子网，并提供有效的 CIDR 范围，该范围包括安装程序在使用这些子网时的子网。

ROSA 允许多个集群共享相同的 VPC。一个 VPC 上的集群数量受剩余的 AWS 资源配额和 CIDR 范围的限制。如需更多信息，请参阅 CIDR 范围定义。

ROSA 使用 OpenShift OVN-Kubernetes 默认 CNI 网络供应商。

集群管理员可以使用 NetworkPolicy 对象根据项目自定义和拒绝跨命名空间。如需更多信息，请参阅 使用网络策略配置多租户隔离。

您可以使用 Prometheus 和 Grafana 监控容器，并使用 OpenShift User Workload Monitoring 管理容量。这是 OpenShift Cluster Manager 中的复选框选项。

如果 Cluster Logging Operator Add-on 已添加到集群中，则审计日志可通过 CloudWatch 获得。如果没有，则支持请求将允许您请求一些审计日志。对于导出并发送到客户，可以请求较小的目标日志和有时间的日志。可用的审计日志的选择由平台安全和合规性类别中的 SRE 决定。集群整个日志的导出的请求将被拒绝。

您可以在集群的策略中使用 AWS 权限 Boundary。

ROSA worker 节点使用与 OSD 和 OpenShift Container Platform 不同的 AMI。Control Plane 和 Infra node AMI 在同一个版本中的产品之间很常见。

ROSA STS 集群没有备份。用户必须为应用程序和数据拥有自己的备份策略。如需更多信息，请参阅我们的 备份策略。

您可以为应用程序定义自定义域。如需更多信息，请参阅为应用程序配置自定义域。

红帽基础架构(Hive)管理默认应用程序入口的证书轮转。

ROSA 不支持 air-gapped 断开连接的环境。ROSA 集群必须具有到互联网的出口，才能访问我们的 registry、S3 并发送指标。该服务需要多个出口端点。Ingress 可以限制为 Red Hat SREs 和 VPN 用于客户访问。