Sicherheit und Compliance
Single-Tenant-Server und -Netzwerke, auditierter Zugriff, Rechenzentren, die Nachweise vorlegen, und Kundenprüfung nach kanadischen und US-amerikanischen Vorschriften. Diese Seite beschreibt jeden dieser Punkte und wo wir bei der Zertifizierung stehen.
Unser Ansatz für Sicherheit und Compliance in der GPU-Cloud beginnt mit Isolation: Die Server, die Sie mieten, stehen ausschließlich Ihnen zur Verfügung, und bei HGX B300-Clustern gilt das auch für die Netzwerke. Hinzu kommen die Rechenzentren, die wir auswählen, die Art, wie der Zugriff auf Ihre Hardware kontrolliert und protokolliert wird, und die Frage, wen wir als Kunden akzeptieren.
Dedizierte Hardware und Netzwerke
Jeder Server, den wir vermieten, ist ein Single-Tenant-Server: Kein anderer Kunde nutzt ihn, und zwischen Ihrer Software und den GPUs liegt kein Hypervisor.
Single-Tenant-Server
Sie mieten ganze Server. Die Server werden nie zwischen Kunden aufgeteilt oder per Virtualisierung geteilt.
Eine dedizierte Fabric
Bei HGX B300-Clustern ist die Ost-West-Fabric zwischen Ihren GPUs Ihnen dediziert zugeordnet, ebenso das Nord-Süd-Netzwerk.
Eigene Adressen
Bei HGX B300-Clustern dedizierte öffentliche Service-Adressen und dedizierte SNAT-Adressen, sodass kein Datenverkehr anderer Kunden von Ihren IP-Adressen ausgeht.
Eine dedizierte Fabric bedeutet, dass Ihr GPU-zu-GPU-Verkehr nie einen Switch mit dem Verkehr eines anderen Kunden teilt. Dedizierte Adressen bedeuten, dass ein Partner, der Ihre IP-Adressen auf eine Allowlist setzt, nur Sie freigibt.
Bei HGX B300-Clustern, die nach unserer Lieferspezifikation gebaut sind, bietet das Edge-Netzwerk zusätzlich diese Schutzmaßnahmen:
- DDoS-Scrubbing. Volumetrisches Scrubbing auf Layer 3 und 4 durch einen etablierten Anbieter, aktiviert über BGP innerhalb von 5 Minuten, mindestens 1 Tbit/s.
- Edge-ACLs. Zugriffskontrolllisten nach Ihren Regeln, Änderungen innerhalb eines Geschäftstags.
- Routing-Sicherheit. Authentifizierung der BGP-Sitzungen, und Ihre RPKI-ROAs werden beachtet, wenn das Edge-Netzwerk Ihren eigenen IP-Adressraum ankündigt.
- Verschlüsselte Laufwerke. Wenn Sie Storage-Knoten für Ihre eigene Storage-Software wählen, werden selbstverschlüsselnde Laufwerke unterstützt.
Was wir von Rechenzentren verlangen
Bevor wir einen Cluster in einem Rechenzentrum unterbringen, verlangen wir Nachweise darüber, wie es gebaut ist und betrieben wird, und keine Behauptungen.
Die Nachweise gehören dem Rechenzentrum, nicht 1Legion. Wir verlangen sie mit Referenznummern, und sie können unter NDA weitergegeben werden. Mit einer Referenznummer lässt sich ein Zertifikat oder Bericht bei der ausstellenden Stelle überprüfen, mit einem Logo auf einer Website nicht.
| Nachweise | Was der Nachweis zeigt |
|---|---|
| Tier III-Designdokumentation | Ein gleichzeitig wartbares Design (Concurrently Maintainable): Komponenten der Stromversorgung und Kühlung lassen sich warten, ohne die IT-Last abzuschalten |
| Zertifizierung des Uptime Institute, genau angegeben | Welche Zertifizierung des Uptime Institute der Standort genau hat, denn das Design und das gebaute Rechenzentrum werden getrennt zertifiziert |
| TIA-942 | Die Einstufung des Standorts nach dem Standard ANSI/TIA-942 für Rechenzentrumsinfrastruktur |
| EN 50600 | Konformität mit der europäischen Normenreihe für Einrichtungen und Infrastrukturen von Rechenzentren |
| SOC 2 | Bericht eines unabhängigen Prüfers über die Kontrollen des Betreibers |
| ISO 27001 | Ein Informationssicherheits-Managementsystem, auditiert nach dem internationalen Standard |
Außerdem verlangen wir zusammenhängende Fläche in einem privaten Cage oder einer dedizierten Halle, eine 24/7-Besetzung vor Ort, die schon vor der Inbetriebnahme steht, und ein Out-of-Band-Netzwerk. Die vollständige Liste der Anforderungen steht auf unserer Seite Rechenzentren.
Zugriffskontrolle
Der Zugriff auf Ihre Hardware wird kontrolliert und protokolliert: Out-of-Band-Zugriffe werden auditiert, und Änderungen laufen über ein schriftliches Change-Management.
- Out-of-Band-Zugriff. Über den Managementpfad zum BMC eines Servers, unterhalb seines Betriebssystems, lässt sich der Server aus- und wieder einschalten, seine Firmware ändern und seine Konsole öffnen. Deshalb wird dieser Zugriff auditiert.
- Change-Management. Änderungen an Ihrem Cluster folgen einem schriftlichen Prozess, sodass jede einzelne dokumentiert ist.
- Inventar und Drift-Erkennung. Ein maßgebliches Inventar erfasst alle Racks, Knoten, GPUs, NICs, Laufwerke, Switches, Ports, Transceiver und Kabel, und die Drift-Erkennung meldet jede Abweichung von der vereinbarten Basiskonfiguration.
Diese Kontrollen sind Teil unserer schriftlichen Betriebszusagen, neben der Reaktion auf Störungen und der Behandlung von Hardwarefehlern.
Onboarding und Kundenprüfung
Wir prüfen jeden Kunden nach den kanadischen und US-amerikanischen Vorschriften zu Exportkontrolle und Sanktionen, und das Unternehmen, das die Server nutzen wird, füllt vor jeder Vertragsunterzeichnung drei Onboarding-Formulare aus.
Die drei Onboarding-Formulare
- Kunden-Onboarding und Due Diligence: Angaben zur Kundenidentifizierung (KYC), einschließlich der wirtschaftlich Berechtigten, also der Personen, die das Unternehmen letztlich besitzen oder kontrollieren.
- Erklärung zu Exportkontrolle, Sanktionen, Endverwendung und Endnutzer: eine unterzeichnete Bestätigung, wofür und von wem die Server genutzt werden.
- Bestätigung der Richtlinie zur zulässigen Nutzung: die Erklärung, dass der Kunde unsere Richtlinie zur zulässigen Nutzung gelesen hat und akzeptiert.
Ein Vermittler kann die Formulare weitergeben, aber der Endnutzer, also das Unternehmen, das die Server nutzen wird, unterschreibt sie.
Regeln für die Kundenprüfung
Wir prüfen jeden Kunden nach kanadischen und US-amerikanischen Vorschriften, auch daraufhin, wo die oberste Muttergesellschaft ihren Hauptsitz hat.
- Wo unsere Server genutzt werden dürfen. Kein Zugriff aus Kuba, Iran, Nordkorea, Syrien, der Krim, den Regionen Donezk, Luhansk, Cherson und Saporischschja, Russland oder Belarus und keine Übermittlung von Ergebnissen dorthin.
- Gelistete Parteien. Keine Parteien auf der SDN-Liste (Specially Designated Nationals) des OFAC, der Entity List des BIS, der Denied Persons List oder der Unverified List oder auf den SEMA- oder UN-Sanktionslisten Kanadas. Wir wenden die 50-Prozent-Regel für Eigentumsverhältnisse an: Ein Unternehmen, das zu 50 Prozent oder mehr gelisteten Parteien gehört, wird als gelistet behandelt.
- Muttergesellschaft. Wir nehmen keine Kunden an, deren oberste Muttergesellschaft ihren Hauptsitz in China, Hongkong, Macau, Russland oder einem Embargoland hat. Die Regel greift bis zur obersten Muttergesellschaft durch und gilt deshalb auch dann, wenn das vertragsschließende Unternehmen anderswo eingetragen ist.
Unser Zertifizierungsstatus
Wir arbeiten auf SOC 2 und ISO 27001 hin. Unsere aktuelle Sicherheitsdokumentation ist unter NDA erhältlich.
Die oben beschriebenen Nachweise zu SOC 2 und ISO 27001 verlangen wir von Rechenzentren; sie sind keine Aussage über 1Legion. Wenn Sie unsere Dokumentation anfordern möchten, kontaktieren Sie uns.
Zulässige Nutzung
Jeder Kunde bestätigt vor der Unterzeichnung unsere Richtlinie zur zulässigen Nutzung, und die Richtlinie legt fest, wofür unsere Server nicht genutzt werden dürfen.
Sie enthält die Regeln zu Exportkontrolle und Sanktionen auf dieser Seite und erklärt, wie wir die Richtlinie durchsetzen. Lesen Sie die vollständige Richtlinie zur zulässigen Nutzung, und auf der Seite So mieten Sie sehen Sie, wo das Onboarding im Vertragsprozess steht.
Was Kunden fragen
Wie ist Ihr Stand bei SOC 2 und ISO 27001?
Wir arbeiten auf SOC 2 und ISO 27001 hin. Unsere aktuelle Sicherheitsdokumentation ist unter NDA erhältlich.
Wird unsere Hardware mit anderen Kunden geteilt?
Nein. Sie mieten ganze Server, die kein anderer Kunde nutzt, ohne Hypervisor. Bei HGX B300-Clustern sind auch die Ost-West-Fabric und das Nord-Süd-Netzwerk Ihnen dediziert zugeordnet.
Welche Länder und Regionen sind ausgeschlossen?
Es gibt keinen Zugriff aus Kuba, Iran, Nordkorea, Syrien, der Krim, den Regionen Donezk, Luhansk, Cherson und Saporischschja, Russland oder Belarus und keine Übermittlung von Ergebnissen dorthin.
Akzeptieren Sie Kunden, deren Muttergesellschaft in China sitzt?
Nein. Wir nehmen keine Kunden an, deren oberste Muttergesellschaft ihren Hauptsitz in China, Hongkong, Macau, Russland oder einem Embargoland hat.
Kann ein Vermittler die Onboarding-Formulare für uns ausfüllen?
Ein Vermittler kann die Formulare weitergeben, aber das Unternehmen, das die Server nutzen wird, füllt sie aus und unterschreibt sie.
Welche Zertifizierungen verlangen Sie von Rechenzentren?
Tier III-Designdokumentation, eine genau angegebene Zertifizierung des Uptime Institute, TIA-942, EN 50600, SOC 2 und ISO 27001, mit Referenznummern, die unter NDA weitergegeben werden können. Diese Nachweise gehören dem Rechenzentrum, nicht 1Legion.
Sicherheitsdokumentation anfordern
Unsere aktuelle Sicherheitsdokumentation ist unter NDA erhältlich.