Red Hat OpenShift Service on AWS に関する FAQ

Red Hat OpenShift Service on AWS の各クラスタには、フルマネージドのコントロールプレーン (マスターノード) とアプリケーションノードが付属しています。インストール、管理、保守、アップグレードは、Red Hat と Amazon が共同でサポートする Red Hat SRE (サイト信頼性エンジニア) が監視します。クラスタサービス (ロギング、メトリクス、モニタリングなど) も利用できます。

Red Hat OpenShift Service on AWS は、パフォーマンス、スケーラビリティ、セキュリティのために最適化された、ターンキー型のアプリケーション・プラットフォームを提供します。Red Hat OpenShift Service on AWS は、Amazon Web Services パブリッククラウドでホストされ、Red Hat と AWS が共同で管理します。一部のオプションや管理機能は、制限されているか、利用できない場合があります。Red Hat OpenShift Container Platform サブスクリプションでは、任意のインフラストラクチャでソフトウェアをホストおよび管理することができます。

Red Hat OpenShift Service on AWS は、AWS でデプロイおよび運用される OpenShift Container Platform のフルマネージド実装であり、Red Hat と AWS 両社が共同で管理およびサポートします。このオプションは AWS コンソールを通じて直接購入でき、従量課金制による請求は、単一ベンダーを介して行われます。AWS サービスとの緊密な統合、共同サポート、請求書の統一をお求めのお客様に最適です。

Red Hat OpenShift Dedicated は、Red Hat がホストして完全に管理するサービスであり、AWS または Google Cloud Platform 上の仮想プライベートクラウドでクラスタを提供します。Red Hat による完全な管理とサポートが提供され、SLA 保証も付いています。すでに Red Hat 製品をお使いのお客様や、Red Hat のフルマネージドサービスを AWS にデプロイすることを検討しているお客様に最適です。

ROSA には、コンテナ管理、自動化 (Operator)、ネットワーキング、負荷分散、サービスメッシュ、CI/CD、ファイアウォール、監視、レジストリ、認証、認可といった、コンテナのデプロイと管理に必要なあらゆる機能がバンドルされています。これらのコンポーネントは連携を想定してテストされており、完全なプラットフォームとして一元的な運用に役立ちます。プラットフォームの OTA アップグレードなど、自動化されたクラスタ運用により、Kubernetes エクスペリエンスがさらに強化されます。

はい。Red Hat OpenShift Service on AWS は、AWS のコンピューティング、データベース、分析、機械学習、ネットワーキング、モバイルなど、さまざまなアプリケーションサービスと統合できるため、世界中でオンデマンドでスケーリングできる AWS サービスの堅牢なポートフォリオを利用できます。これらの AWS ネイティブサービスに直接アクセスして、同じ管理インタフェースを介してサービスを迅速にデプロイおよび拡張できます。

Red Hat OpenShift Service on AWS (ROSA) には、インフラストラクチャ・コンポーネント (仮想マシン、ストレージディスクなど) とソフトウェア・コンポーネント (OpenShift) があります。ROSA クラスタをプロビジョニングすると、インフラストラクチャと OpenShift の使用に対して従量課金制の時間料金が発生します。詳細は、Red Hat OpenShift Service on AWS の価格設定のページを参照してください。1 年または 3 年契約で、さらに大幅な割引を受けることもできます。

ROSA は AWS と Red Hat がサポートしています。トラブルシューティングを開始するにはいずれかの会社のサポートに連絡してください。エスカレーションが必要な場合は、問題に対処できる最良のチームが対応するよう AWS と Red Hat が手配します。

Red Hat OpenShift Service on AWS (ROSA) ラーニングハブで、Red Hat® OpenShift® Service on AWS の使用に向けてデザインされた学習資料やツールをご覧ください。達成すべきタスクごとに整理されています。

ラーニングハブにアクセスする

詳細は、Red Hat OpenShift Service on AWS (ROSA) のドキュメントを参照してください。

ホスト型コントロールプレーンを備えた ROSA は、ROSA の新しいデプロイメントモデルで、可用性の高いコントロールプレーンがお客様の AWS アカウントではなく Red Hat 所有の AWS アカウントでホストされ、コストとプロビジョニング時間を削減しながら効率と信頼性を向上させます。ホスト型コントロールプレーンを備えた ROSA は、2023 年 5 月時点でプレビューで利用可能であり、一般提供は年内に予定されています。

現在開発中の機能の最新状況は、ROSA ロードマップにアクセスして確認できます。製品チームに提案がある場合は、お気軽に新規のケースをオープンしてください。

Red Hat OpenShift Service on AWS の総コストは、ROSA のサービス料金と AWS のインフラストラクチャ料金という 2 つのコンポーネントで構成されます。ROSA の価格設定情報、価格の例、AWS 価格計算ツールについて詳細をご覧ください。

Red Hat OpenShift Service on AWS は、AWS の商用利用が可能なすべての国で購入していただけます。

AWS コンソールから直接サービスを取得できます。EC2 のような他の AWS サービスと同様、OpenShift クラスタを起動すると、消費量に基づいて課金されます。価格の詳細については、Red Hat または AWS の担当者までご連絡いただくか、こちらの ROSA 価格設定の詳細をご覧ください。

AWS がまとめて請求書をお送りします。

はい。Red Hat OpenShift Service on AWS での支出は全額 AWS Enterprise Discount Program の対象になります。

いいえ。ROSA にはオペレーティングシステムとして Red Hat Enterprise Linux CoreOS (RHCOS) が含まれているので、必要なのは Linux を選択することだけです。より明確には、ROSA クラスタを作成すると、RHCOS ノードのセットアップがすべて処理されます。

はい。追加の MachinePool をスポットインスタンスで構成できます。Amazon EC2 スポットインスタンスを使用すると、未使用の容量を活用して大幅にコストを削減できます。詳細は、ドキュメントの MachinePool の作成のセクションを参照してください。

事前の支払いは必要ありません。ROSA クラスタはオンデマンドでプロビジョニングでき、AWS と OpenShift のどちらも従量課金で利用できます。この場合、事前の支払いは不要です。1 年間および 3 年間の RI 価格も利用可能で、その場合は割引価格が適用されます。

AWS コンソールから直接サービスを取得できます。EC2 のような他の AWS サービスと同様、OpenShift クラスタを起動するだけで、消費量に基づいて課金されます。Red Hat または AWS の担当者までご連絡いただくこともできます。こちらの短い動画で、ROSA クラスタをデプロイするプロセスをご覧いただけます。

いいえ。ROSA を使用するために Red Hat と契約する必要はありません。console.redhat.com で使用する場合は Red Hat アカウントが必要です。これには、エンタープライズ契約およびオンラインサービスに関する条件への同意が必要になります。

いいえ。課金は AWS を通じて直接行われるため、OpenShift Container Platform または OpenShift Dedicated サブスクリプションを Red Hat OpenShift Service on AWS で使用することはできません。

• OpenShift (OCP、OSD、OKE) サブスクリプションは、ROSA では使用できません。
• Red Hat OpenShift サブスクリプションの未使用部分を ROSA に移行することはできません。
• IBM CloudPak の購入に含まれるサブスクリプションは、ROSA では使用できません。
• ROSA サブスクリプションは、AWS および AWS リセラーからのみ直接購入できます。

Red Hat Subprocessor List を参照してください。

Red Hat OpenShift Service on AWS がサポートされているグローバルリージョンのリストについては、サポートされているリソースを参照してください。

Red Hat OpenShift Service on AWS クラスタで使用できる仮想マシンのサイズのリストについては、 Red Hat OpenShift Service on AWS の 仮想マシンのサイズを参照してください。

作成したクラスタに対するクラスタ管理者権限が付与されます。

いいえ。クラスタにシームレスな更新を提供する機能を維持するために、Red Hat OpenShift Service on AWS でサポートされるのは Red Hat Enterprise Linux CoreOS (RHCOS) ワーカーのみです。

Red Hat SRE は、Red Hat OpenShift プラットフォームのプロビジョニング、管理、アップグレードのほか、コア・クラスタ・インフラストラクチャの可用性の監視を行います。プラットフォームで実行されるアプリケーションのアプリケーション・ライフサイクルの管理については責任を負いません。

管理ユーザーは、ユーザーとプロジェクトの追加/削除、プロジェクトクォータの管理、クラスタ使用統計の表示、デフォルトのプロジェクトテンプレートの変更を行うことができます。管理者は、クラスタのスケールアップおよびスケールダウンや、既存のクラスタの削除も行えます。

はい。ROSA クラスタは、既存の VPC をサポートするアカウントにデプロイされます。デプロイを検討する場合は、アプリケーションの分離と最小特権に関するセキュリティのベストプラクティスに従うことをお勧めします。

Red Hat OpenShift Service on AWS の各クラスタは所定のお客様専用であり、そのお客様のサブスクリプション内に存在します。

OpenShift Cluster Manager でクラスタのアップグレードポリシーとスケジュールを定義できます。クラスタは、お客様が定義した保守時間枠 (たとえば「土曜日の 2:00 UTC」など) に最新リリースへの自動アップグレードを行うように構成できます。あるいは、お客様が指定した日時に特定のリリースにアップグレードできます。ベストプラクティスに従うと、ダウンタイムを最小限に抑える、またはゼロにするのに役立ちます。詳細は、OpenShift Cluster Manager のドキュメントを参照してください。 

アップグレードはすべて Red Hat の SRE サービスが監視および管理します。

当社では、保守に関してこれら 2 つのタイプを区別していません。当社のチームは 24 時間年中無休で対応しており、従来の計画的な「業務時間外」の保守時間枠は設けていません。

ホスト・オペレーティングシステムと OpenShift ソフトウェアは、一般的なアップグレードプロセスを通じて更新されます。

お客様は、転送するアプリケーション、インフラストラクチャ、および監査のログストリームを選択できます。

このオファリングには適用されません。ノードアクセスが有効になっていません。ワーカーノードは SRE チームが完全に管理します。

Not applicable to this offering. Node access is not enabled. Worker nodes are fully managed by the SRE team.

Red Hat OpenShift Service on AWS は現在、SOC-2 Type 2、SOC 3、ISO-27001、ISO 27017、ISO 27018、HIPAA および PCI-DSS に準拠しています。また、現在、FedRAMP High の取得に向けて取り組んでいます。

いいえ。Red Hat OpenShift Service on AWS クラスタ内のすべてのノードは、同じ AWS リージョンに配置される必要があります。これは OCP と同じモデルに従います。複数のアベイラビリティ・ゾーン用に構成されたクラスタの場合、コントロールプレーンノードとワーカーノードはアベイラビリティ・ゾーン全体に分散されます。

ROSA クラスタでのワーカーノードの最小数は、単一 AZ の場合は 2 つ、複数 AZ の場合は 3 つです。

ワーカーノードの管理について詳細をご確認ください。

ROSA のドキュメントはこちらを参照してください。

はい。Red Hat OpenShift Service on AWS の顧客管理者は、ユーザーが作成したすべてのプロジェクトにアクセスできるだけでなく、ユーザーとクォータを管理できます。たとえば、プロジェクトごとのリソースクォータを参照してください。

最新バージョンの OpenShift にアップグレードすると、そのバージョンの OpenShift から機能を継承することができます (ライフサイクルの日付を確認してください)。ROSA は OpenShift Container Platform の独自のインストールであるため、すべての機能が ROSA で利用できるわけではないことに注意してください。サービス定義を確認してください。

ROSA は AWS と Red Hat がサポートしています。トラブルシューティングを開始するにはいずれかの会社のサポートに連絡してください。エスカレーションが必要な場合は、問題に対処できる最良のチームが対応するよう AWS と Red Hat が手配します。

• Red Hat サポート
• AWS サポート (有効な AWS サポート契約が必要です)

また、Red Hat カスタマーポータルにアクセスして、Red Hat 製品関連の記事やソリューションがまとめられている Red Hat ナレッジベースを検索または閲覧したり、Red Hat サポートにサポートケースを送信したりすることもできます。あるいは、OpenShift Cluster Manager (OCM) から直接チケットをオープンすることもできます。サポートを受ける方法の詳細は、ROSA のドキュメントを参照してください。

既存の ROSA クラスタには何も起こりません。ROSA クラスタは「制限付きサポート」のステータスになりますが、引き続き動作します。つまり、そのクラスタの SLA は適用されなくなりますが、そのクラスタのサポートは引き続き受けられます。詳細は、制限付きサポートのステータスをご覧ください。

詳細は、Red Hat OpenShift Service on AWS の SLA のページを参照してください。

通知は、AWS アップデートや E メールなど、通常の通信チャネルを介して行われます。

Red Hat OpenShift Service on AWS は、OpenShift Container Platform に基づくマネージドサービスです。現在のバージョンとライフサイクルの日付は、ROSA のドキュメントで確認できます。

はい。Red Hat OpenShift Service on AWS で OSBA を使用できます。詳細は、Open Service Broker for AWS を参照してください。ただし、さらに最近になって開発されたのが AWS Controller for Kubernetes で、こちらが推奨されます。

すべての OpenShift v4.x オファリングと同様、コントロールプレーンノード、インフラストラクチャノード、およびワーカーノードは Red Hat Enterprise Linux CoreOS (RHCOS) を実行します。

お客様はいつでもサービスの使用を停止し、アプリケーションをオンプレミス、プライベートクラウド、または他のクラウドプロバイダーに移行できます。未使用のリザーブドインスタンス (RI) には、標準の RI ポリシーが適用されます。

OpenID Connect (OAuth2 のプロファイル)、Google OAuth、GitHub OAuth、GitLab、LDAP です。

Red Hat は、E メールおよび Red Hat コンソールサービスログを介して更新を提供します。

いいえ。今のところはありません。シャットダウン/ハイバネーション機能は、OpenShift プラットフォームの機能ですが、クラウドサービスで広く使用できるほど成熟していません。

はい。SRE アクセスはすべて MFA で保護されています。詳細は、ドキュメントの SRE アクセスを参照してください。

ROSA に使用する EBS ボリュームは、KMS に格納されているキーを使用して暗号化されます。お客様は、クラスタの作成時に独自の KMS キーを提供することもできます。

コントロールプレーンノード、インフラストラクチャノード、およびワーカーノードのルートボリュームと、永続ボリュームです。

デフォルトでは、保存時に暗号化が行われます。AWS Storage プラットフォームは、データを永続化する前に自動的に暗号化し、データを取得する前に復号します。AWS EBS 暗号化の詳細を参照してください。クラスタ内の etcd を暗号化する機能もあり、AWS ストレージの暗号化と組み合わせると、暗号化が 2 倍 (冗長) になり、最大 20% のパフォーマンスヒットが追加されます。詳細は、etcd 暗号化を参照してください。

etcd 暗号化を有効にできるのは、クラスタの作成時のみです。これによって追加のオーバーヘッドが発生し、セキュリティリスクはほとんど緩和されないことに注意してください。EBS 暗号化に関する前の質問を参照してください。

OCP の場合と同じです。aescbc cypher が使用され、クラスタのデプロイ中に設定にパッチが適用されます。関連する Kubernetes ドキュメントはこちらです。詳細は、etcd 暗号化を参照してください。

ROSA は、仮想マシン、ストレージ、ロードバランサーなど、さまざまなクラウドサービスを利用します。AWS の前提条件で定義されたリストを確認できます。

AWS STS です。これらは「種類」ではなく、認証方法です。基本的には「AWS アカウントで必要とされるアクションを実行するために必要なアクセス許可をどのように Red Hat に付与するか」ということです。今後のロードマップでは STS に重点が置かれており、IAM ユーザーの手法は最終的に非推奨になります。これは最小特権の原則との整合性が高く、クラウドサービスリソース管理の安全なプラクティスと非常にうまく連携します。詳しい説明は「STS を使用した ROSA について」のセクションを参照してください。 

STS を使用して ROSA をデプロイするための要件や、STS を使用する ROSA クラスタ向けの IAM リソースなど、詳細はドキュメントを参照してください。

新しいバージョンの ROSA CLI を確認してください。ROSA CLI のすべてのリリースは、GitHub と Red Hat の署名付きバイナリーリリースの 2 カ所にあります。

また、ROSA クラスタをデプロイするには、いくつかの前提条件を満たしている必要があります。要件についてはドキュメントを参照してください。

サービス定義のストレージのセクションを参照してください。

AWS EFS です (AWS EFS CSI ドライバーを使用します。OpenShift では 4.10 にすぐに使える CSI ドライバーが含まれています)。Red Hat OpenShift Service on AWS の AWS EFS のセットアップを参照してください。

はい。インストール時に、既存の VPC にデプロイするかどうかを指定してから、その VPC を選択できます。次に目的のサブネットを選択し、インストーラーがそれらのサブネットを使用して処理する有効な CIDR 範囲 (サブネットを含む) を指定することもできます。詳細は、ドキュメントの VPC のセクションを参照してください。

Red Hat OpenShift Service on AWS は、NetworkPolicy モードに構成されたデフォルトの OpenShift SDN ネットワークプロバイダーを使用します。OVN-Kubernetes は当社のロードマップに含まれています。

ROSA のクラスタ管理者は、NetworkPolicy オブジェクトを使用して、プロジェクトごとにネームスペース間のネットワーキングをカスタマイズできます (拒否を含む)。構成方法については、ネットワークポリシーを使用したマルチテナント分離の構成を参照してください。

はい。ROSA では、複数のクラスタが同じ VPC を共有できます。基本的にクラスタの数は、残りの AWS リソースクォータと、重複してはならない任意の CIDR 範囲によって制限されます。詳細は、CIDR 範囲の定義を参照してください。

はい。OpenShift User Workload Monitoring を使用します。これは、OpenShift Cluster Manager (console.redhat.com/openshift) のチェックボックスオプションです。 

詳細は、OpenShift Cluster Manager のドキュメントを参照してください。 

Cluster Logging Operator Add-on がそのクラスタに追加されている場合、CloudWatch を介して監査ログを確認できます。そうでない場合は、サポートリクエストで監査ログを要求できます。ターゲットを絞ってタイムボックス化された小さなログをエクスポート用に要求し、顧客に送信できます。利用可能な監査ログの選択は、プラットフォームのセキュリティとコンプライアンスのカテゴリにおける SRE の裁量に任されています。クラスタのログ全体のエクスポートの要求は拒否されます。

はい。AWS Permissions Boundary の使用はサポートされています。

ROSA ワーカーノードは、OSD や OCP とは異なる AMI を使用します。コントロールプレーンとインフラストラクチャノードの AMI は、同じバージョンの製品間で共通です。

現時点では、非 STS クラスタのみが SRE マネージドバックアップを持っています。つまり、ROSA STS クラスタにはバックアップがありません。当社のバックアップポリシーもご覧ください。ユーザーは、アプリケーションとデータに関して独自のバックアップポリシーを持つことが不可欠です。

はい。詳細はこちらをご覧ください。

今のところは受け入れません。この機能は当社のバックログに含まれています。ただし、クラスタの作成時に定義されている限りにおいて、EBS 暗号化の単一リージョン KMS キーを受け入れます。

はい。詳細は、アプリケーションのカスタムドメインの構成を参照してください。

Red Hat インフラストラクチャ (Hive) は、デフォルトのアプリケーション・イングレス (apps.*.openshiftapps.com) の証明書ローテーションを管理します。

現在の ROSA のロードマップは、https://red.ht/rosa-roadmap で確認できます。

サポートされているインスタンスタイプの最新リストについては、サービス定義の AWS コンピューティングタイプを参照してください。また、スポットインスタンスがサポートされています。

いいえ。ROSA クラスタがレジストリや S3 にアクセスしたり、メトリクスを送信したりするには、インターネット接続が必要です。このサービスは多数の送信エンドポイントを必要とします。受信は、PrivateLink (Red Hat SRE の場合) や VPN など、カスタマーアクセス用に制限できます。

はい。自動スケーリングにより、現在のワークロードに基づいてクラスタのサイズを自動的に調整できます。詳細は、ドキュメントのクラスタ上のノードの自動スケーリングについてを参照してください。

ワーカーノードの最大数は、ROSA クラスタにつき 180 です。制限とスケーラビリティに関する考慮事項とノード数の詳細は、こちらを参照してください。

ワーカーノードの管理について詳細をご確認ください。