我们的 GPU 云安全与合规做法从隔离开始：您租用的服务器仅供您使用，在 HGX B300 集群上，网络也同样专属于您。在此基础上，还包括我们选择的机房、对您硬件的访问如何受到控制与记录，以及我们接受哪些客户。
专属硬件与网络
我们出租的每台服务器都是单租户：没有其他客户在上面运行工作负载，您的软件与 GPU 之间也没有 hypervisor。
单租户服务器
您租用的是整台服务器。服务器绝不会分割给多位客户，也不会通过虚拟化共享。
专属集群网络
在 HGX B300 集群上，您的 GPU 之间的东西向集群网络专属于您，南北向网络也是如此。
您专属的地址
在 HGX B300 集群上，提供专属的公网服务地址与专属的 SNAT 地址，因此不会有其他客户的流量从您的 IP 地址发出。
专属集群网络意味着您的 GPU 之间的流量绝不会与其他客户的流量共享交换机。专属地址意味着合作伙伴将您的 IP 地址加入白名单时，允许的只有您。
在按照我们的交付规格书构建的 HGX B300 集群上，边缘网络另提供以下防护：
- DDoS 流量清洗。由成熟的供应商提供第 3 层与第 4 层流量型攻击清洗，通过 BGP 于 5 分钟内启动，容量至少 1 Tb/s。
- 边缘 ACL。按您的规则设置访问控制列表，变更于一个工作日内完成。
- 路由安全。BGP 会话验证；当边缘网络宣告您自有的 IP 地址空间时，会遵循您的 RPKI ROA。
- 加密硬盘。如果您选择存储节点来运行自有的存储软件，可支持自加密硬盘。
我们对机房的要求
在将集群部署到某座机房之前，我们会要求该机房提供其建设与运维方式的证明材料，而不是单方面的声明。
这些证明材料属于机房，而非 1Legion。我们要求证明材料附有参考编号，并可在签署保密协议后提供。有了参考编号，就能向颁发机构核实证书或报告，网站上的标志则做不到这一点。
| 证明材料 | 证明的内容 |
|---|---|
| Tier III 设计文档 | 可并行维护的设计：电力与散热组件可在不关闭 IT 负载的情况下进行维护 |
| 精确载明的 Uptime Institute 认证 | 该站点确切持有哪一项 Uptime Institute 认证，因为设计与已建成的机房是分别认证的 |
| TIA-942 | 该站点按 ANSI/TIA-942 数据中心基础设施标准取得的评级 |
| EN 50600 | 符合欧洲数据中心设施与基础设施系列标准 |
| SOC 2 | 独立审计人员针对运营商控制措施出具的报告 |
| ISO 27001 | 按国际标准审计的信息安全管理体系 |
我们也要求私有笼位或专属机房内的连续空间、上线前即到位的 7×24 小时现场人员，以及带外网络。完整的要求清单请见我们的数据中心页面。
访问控制
对您硬件的访问都受到控制与记录：带外访问经过审计，变更则须经过书面变更管理流程。
- 带外访问。通往服务器 BMC 的管理路径位于操作系统之下，可以对服务器断电重启、变更其固件并打开其控制台。这正是需要审计的原因。
- 变更管理。对您集群的变更都遵循书面流程，因此每一项变更都留有记录。
- 资产清单与漂移检测。资产清单涵盖每个机柜、节点、GPU、网卡、硬盘、交换机、端口、光模块与线缆，漂移检测则会标记出任何与约定基准不符之处。
这些控制措施与事件响应及硬件故障处理一样，都属于我们书面运维承诺的一部分。
开户与审查
我们依据加拿大与美国的出口管制及制裁规定审查每一位客户，实际使用服务器的公司会在签署任何合同之前，填写三份开户表格。
三份开户表格
- 客户开户与尽职调查表：了解您的客户（KYC）信息，包括实际受益人，即最终拥有或控制该公司的人。
- 出口管制、制裁与最终用途/最终用户声明书：一份经签署的声明，说明服务器的用途以及由谁使用。
- 可接受使用政策确认书：确认客户已阅读并接受我们的《可接受使用政策》。
中介可以转交表格，但表格由最终用户（即实际使用服务器的公司）签署。
审查规则
我们依据加拿大与美国的规定审查每一位客户，包括其最终母公司的总部所在地。
- 服务器的使用地区。不得从古巴、伊朗、朝鲜、叙利亚、克里米亚、顿涅茨克、卢甘斯克、赫尔松与扎波罗热地区、俄罗斯或白俄罗斯访问，也不得将结果发送至这些国家或地区。
- 受限制方。我们不接受列于以下清单的任何一方：OFAC 特别指定国民（SDN）清单、BIS 实体清单、拒绝人员清单、未经核实清单、加拿大 SEMA 制裁清单或联合国制裁清单。我们适用 50% 持股规则：由被列入清单的各方持股 50% 或以上的公司，视同被列入清单。
- 母公司。我们不接受最终母公司总部位于中国内地、香港、澳门、俄罗斯或受禁运的国家或地区的客户。此规则会穿透审查至最终母公司，因此即使签约公司在其他地方注册成立，同样适用。
我们的认证状态
我们正在努力达到 SOC 2 与 ISO 27001 的要求。我们目前的安全文档可在签署保密协议后提供。
上述 SOC 2 与 ISO 27001 证明材料是我们对机房的要求，并非关于 1Legion 本身的声明。如需索取我们的文档，请联系我们。
可接受使用
买方常见问题
1Legion 在 SOC 2 与 ISO 27001 方面进展如何？
我们正在努力达到 SOC 2 与 ISO 27001 的要求。我们目前的安全文档可在签署保密协议后提供。
我们的硬件会与其他客户共享吗？
不会。您租用的是整台服务器，没有其他客户使用，也没有 hypervisor。在 HGX B300 集群上，东西向集群网络与南北向网络同样专属于您。
哪些国家与地区被排除在外？
不得从古巴、伊朗、朝鲜、叙利亚、克里米亚、顿涅茨克、卢甘斯克、赫尔松与扎波罗热地区、俄罗斯或白俄罗斯访问，也不得将结果发送至这些国家或地区。
1Legion 是否接受母公司位于中国的客户？
不接受。我们不接受最终母公司总部位于中国内地、香港、澳门、俄罗斯或受禁运的国家或地区的客户。
中介可以代我们填写开户表格吗？
中介可以转交表格，但表格由实际使用服务器的公司填写并签署。
1Legion 要求机房提供哪些认证？
Tier III 设计文档、精确载明的 Uptime Institute 认证、TIA-942、EN 50600、SOC 2 与 ISO 27001，皆附参考编号，并可在签署保密协议后提供。这些都属于机房，而非 1Legion。