TLS-Cipher-Suites einschränken

Auf dieser Seite wird beschrieben, wie Sie den Zugriff auf Google Cloud Ressourcen verhindern können, indem Sie Anfragen mit bestimmten weniger sicheren TLS-Chiffren (Transport Layer Security) ablehnen.

Übersicht

Google Cloud unterstützt mehrere TLS-Chiffrensammlungen. Um Sicherheits- oder Compliance-Anforderungen zu erfüllen, können Sie Anfragen von Clients ablehnen, die weniger sichere TLS-Chiffrensammlungen verwenden.

Diese Funktion wird durch die gcp.restrictTLSCipherSuites Einschränkung der Organisationsrichtlinie bereitgestellt. Die Einschränkung kann auf Organisationen, Ordner oder Projekte in der Ressourcenhierarchie angewendet werden.

Sie können die Einschränkung gcp.restrictTLSCipherSuites entweder als Zulassungs- oder als Sperrliste verwenden:

• Zulassungsliste: Damit wird eine bestimmte Gruppe von Chiffrensätzen zugelassen. Alle anderen werden abgelehnt.
• Deny-Liste: Mit dieser Liste werden bestimmte Cipher Suites abgelehnt. Alle anderen sind zulässig.

Aufgrund des Verhaltens der Hierarchiebewertung der Organisationsrichtlinie gilt die Einschränkung „TLS-Cipher-Suites einschränken“ für den angegebenen Ressourcenknoten und alle untergeordneten Elemente. Wenn Sie beispielsweise nur bestimmte TLS-Chiffrenfolgen für eine Organisation zulassen, gilt dies auch für alle Ordner und Projekte (untergeordnete Elemente), die von dieser Organisation abstammen.

Hinweise

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Organization policy administrator (roles/orgpolicy.policyAdmin) für die Organisation zu gewähren, um die Berechtigungen zu erhalten, die Sie zum Festlegen, Ändern oder Löschen von Organisationsrichtlinien benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Organisationsrichtlinie festlegen

Die Einschränkung „TLS-Cipher-Suites beschränken“ ist eine Listeneinschränkung. Sie haben die Möglichkeit, Cipher-Suites zu den Listen allowed_values und denied_values einer Einschränkung der TLS-Cipher-Suites hinzuzufügen und daraus zu entfernen. Verwenden Sie Wertgruppen, um zu verhindern, dass Organisationsrichtlinien zu restriktiv sind, und um die Richtlinienverwaltung zu vereinfachen. Wertgruppen sind von Google empfohlene TLS-Chiffrensammlungen.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Wertgruppen

Wertgruppen sind Sammlungen von Cipher Suites, die von Google ausgewählt wurden, um das Festlegen bevorzugter oder empfohlener TLS-Cipher Suites zu vereinfachen. Wertgruppen umfassen mehrere Chiffren-Suites und werden von Google im Laufe der Zeit erweitert. Sie müssen Ihre Organisationsrichtlinien nicht ändern, um die neuen Chiffrenfolgen zu berücksichtigen.

Wenn Sie in Ihrer Organisationsrichtlinie Wertgruppen verwenden möchten, stellen Sie den Einträgen den String in: voran. Weitere Informationen zum Verwenden von Wertpräfixen finden Sie in diesem Artikel. Namen von Wertgruppen werden beim Festlegen der Organisationsrichtlinie überprüft. Wenn Sie einen ungültigen Gruppennamen verwenden, schlägt die Richtlinieneinstellung fehl.

In der folgenden Tabelle sind die aktuellen verfügbaren Gruppen aufgeführt:

Unterstützte Cipher Suites

Dies ist die Liste der von Google Cloudunterstützten Chiffresammlungen.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

Fehlermeldung

Dienste, die die Einschränkung „TLS-Cipher-Suites beschränken“ unterstützen, lehnen Anfragen ab, die gegen die Einschränkung verstoßen.

Beispiel für Fehlermeldung

Die Fehlermeldung sieht in etwa so aus:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

Diese Ausgabe enthält die folgenden Werte:

• PROJECT_NUMBER: die Projektnummer des Projekts, in dem die im vorherigen Befehl angegebene Ressource gehostet wird.
• SERVICE_NAME: der Name des betroffenen Dienstes, der durch die Richtlinie zum Einschränken von TLS-Cipher-Suites blockiert wurde.
• TLS_Cipher_Suite_X: die in der Anfrage verwendete TLS-Chiffrensammlung.

Beispiel für ein Cloud-Audit-Log

Außerdem wird ein Audit-Log-Eintrag zur weiteren Überwachung, Benachrichtigung oder Fehlerbehebung generiert. Der Audit-Logeintrag sieht in etwa so aus:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

Richtlinie testen

Sie können die Einschränkung der TLS-Chiffrenrichtlinie für jeden in den Geltungsbereich fallenden Dienst testen. Im folgenden Beispiel wird mit dem curl-Befehl die Einschränkung der TLS-Chiffrenfolgen für einen Cloud Key Management Service-Schlüsselring überprüft.

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

Ersetzen Sie die folgenden Variablen:

• TLS_CIPHER_SUITE: Der Name der TLS-Chiffrensuite in der OpenSSL-Benennungskonvention, z. B. ECDHE-ECDSA-AES128-SHA, der OpenSSL-Name für TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• PROJECT_ID: Name des Projekts, das den Schlüsselbund enthält

In der folgenden Beispiel-curl-Anfrage ist PROJECT_ID auf my-project-id und TLS_CIPHER_SUITE auf ECDHE-ECDSA-AES128-SHA festgelegt:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Wenn die Organisationsrichtlinie für „my-project-id“ so konfiguriert ist, dass TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA abgelehnt wird, schlägt jeder Versuch, mit der Chiffre auf Ressourcen im richtlinienbeschränkten Projekt in diesem Beispielbefehl zuzugreifen, fehl. Es wird eine Fehlermeldung zurückgegeben, die den Grund für diesen Fehler beschreibt. Sie sieht in etwa so aus:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

Organisationsrichtlinie im Probelaufmodus erstellen

Eine Organisationsrichtlinie im Probelaufmodus ist eine Art von Organisationsrichtlinie, bei der Verstöße gegen die Richtlinie im Audit-Log protokolliert, die betreffenden Aktionen aber nicht abgelehnt werden. Sie können eine Organisationsrichtlinie im Modus „Probelauf“ mit der Einschränkung „Einschränkung von TLS-Chiffrenfolgen“ erstellen, um zu sehen, wie sich die Richtlinie auf Ihre Organisation auswirken würde, bevor Sie sie erzwingen. Weitere Informationen finden Sie unter Organisationsrichtlinie im Modus „Probelauf“ erstellen.

Unterstützte Dienste

Die folgenden Dienste unterstützen die Option „TLS-Cipher-Suites beschränken“. Die Einschränkung gilt für alle Varianten des API-Endpunkt, einschließlich globaler, standortbezogener und regionaler Endpunkte. Weitere Informationen finden Sie auf der Seite API-Endpunkttypen.

Nicht unterstützte Dienste

Die Einschränkung der Organisationsrichtlinie zum Einschränken von TLS-Cipher-Suites gilt nicht für die folgenden Dienste:

• App Engine (*.appspot.com)
• Cloud Run-Funktionen (*.cloudfunctions.net),
• Cloud Run (*.run.app)
• Private Service Connect
• Benutzerdefinierte Domains

Wenn Sie TLS-Chiffrenfolgen für diese Dienste einschränken möchten, verwenden Sie Cloud Load Balancing zusammen mit der SSL-Sicherheitsrichtlinie.

Google Cloud  Einstellung für die Cipher Suite

Bei Endpunkten für unterstützte Dienste wird AES-256 vor AES-128 und vor ChaCha20 priorisiert. Clients, die AES-256 unterstützen, sollten eine erfolgreiche Verhandlung ohne Konfigurationsänderungen ermöglichen.