TLS-Cipher-Suites einschränken

Auf dieser Seite wird beschrieben, wie Sie den Zugriff auf Google Cloud Ressourcen verhindern können, indem Sie Anfragen ablehnen, die mit bestimmten weniger sicheren TLS-Cipher-Suites (Transport Layer Security) gestellt werden.

Übersicht

Google Cloud Unterstützung mehrerer TLS-Cipher Suites. Um Sicherheits- oder Compliance-Anforderungen zu erfüllen, können Sie Anfragen von Clients ablehnen, die weniger sichere TLS-Cipher-Suites verwenden.

Diese Funktion wird durch die gcp.restrictTLSCipherSuites-Einschränkung für Organisationsrichtlinien bereitgestellt. Die Einschränkung kann auf Organisationen, Ordner oder Projekte in der Ressourcenhierarchie angewendet werden.

Sie können die Einschränkung gcp.restrictTLSCipherSuites entweder als Zulassungsliste oder als Sperrliste verwenden:

• Zulassungsliste: Ermöglicht eine bestimmte Gruppe von Chiffrierverfahren. Alle anderen werden abgelehnt.
• Deny-Liste: Bestimmte Cipher Suites werden abgelehnt. Alle anderen sind zulässig.

Aufgrund des Verhaltens der Evaluierung der Hierarchie von Organisationsrichtlinien gilt die Einschränkung „TLS-Cipher-Suites einschränken“ für den angegebenen Ressourcenknoten und alle untergeordneten Elemente. Wenn Sie beispielsweise nur bestimmte TLS-Cipher-Suites für eine Organisation zulassen, gilt dies auch für alle Ordner und Projekte (untergeordnete Elemente), die von dieser Organisation abstammen.

Hinweise

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für die Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Festlegen, Ändern oder Löschen von Organisationsrichtlinien benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Organisationsrichtlinie festlegen

Die Einschränkung „TLS-Cipher-Suites beschränken“ ist eine Art von Listeneinschränkung. Sie können Cipher-Suites zu den Listen allowed_values und denied_values einer Einschränkung für TLS-Cipher-Suites hinzufügen und daraus entfernen. Um zu verhindern, dass Organisationsrichtlinien zu restriktiv sind, und um die Richtlinienverwaltung zu vereinfachen, verwenden Sie Wertgruppen. Wertgruppen sind von Google zusammengestellte empfohlene TLS-Chiffrierverfahren.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Wertgruppen

Wertgruppen sind Sammlungen von Cipher Suites, die von Google ausgewählt wurden, um das Festlegen bevorzugter oder empfohlener TLS-Cipher-Suites zu erleichtern. Wertgruppen umfassen mehrere Chiffrierverfahren und werden von Google im Laufe der Zeit erweitert. Sie müssen die Organisationsrichtlinie nicht ändern, um die neuen Chiffrierverfahren zu berücksichtigen.

Wenn Sie in Ihrer Organisationsrichtlinie Wertgruppen verwenden möchten, stellen Sie den Einträgen den String in: voran. Weitere Informationen zum Verwenden von Wertpräfixen finden Sie in diesem Artikel. Namen von Wertegruppen werden beim Festlegen der Organisationsrichtlinie überprüft. Wenn Sie einen ungültigen Gruppennamen verwenden, schlägt die Richtlinieneinstellung fehl.

In der folgenden Tabelle sind die aktuellen verfügbaren Gruppen aufgeführt:

Unterstützte Cipher Suites

Dies ist die Liste der von Google Cloudunterstützten Chiffresammlungen.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

Fehlermeldung

Dienste, die die Einschränkung „TLS-Cipher-Suites beschränken“ unterstützen, lehnen Anfragen ab, die gegen die Einschränkung verstoßen.

Beispiel für Fehlermeldung

Die Fehlermeldung hat ein Format, das dem folgenden Beispiel ähnelt:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

Diese Ausgabe enthält die folgenden Werte:

• PROJECT_NUMBER: die Projektnummer, in der die im vorherigen Befehl erwähnte Ressource gehostet wird.
• SERVICE_NAME: Der Name des betroffenen Dienstes, der durch die Richtlinie zum Einschränken von TLS-Cipher-Suites blockiert wird.
• TLS_Cipher_Suite_X: Die im Request verwendete TLS-Cipher Suite.

Beispiel für ein Cloud-Audit-Log

Außerdem wird ein Audit-Log-Eintrag zur weiteren Überwachung, Benachrichtigung oder Fehlerbehebung generiert. Der Audit-Logeintrag sieht in etwa so aus:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

Richtlinie testen

Sie können die Richtlinieneinschränkung für TLS-Cipher-Suites für jeden Service, der in den Anwendungsbereich fällt, testen. Mit dem folgenden curl-Befehl wird die Einschränkung von TLS-Cipher-Suites für einen Cloud Key Management Service-Schlüsselbund validiert.

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

Ersetzen Sie die folgenden Variablen:

• TLS_CIPHER_SUITE: Der Name der TLS-Cipher Suite in der OpenSSL-Namenskonvention, z. B. ECDHE-ECDSA-AES128-SHA, der OpenSSL-Name für TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• PROJECT_ID: Name des Projekts, das den Schlüsselbund enthält

Im folgenden Beispiel für eine curl-Anfrage ist PROJECT_ID auf my-project-id und TLS_CIPHER_SUITE auf ECDHE-ECDSA-AES128-SHA festgelegt:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Wenn die Organisationsrichtlinie für „my-project-id“ so konfiguriert ist, dass TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA verweigert wird, schlägt jeder Versuch fehl, mit der Chiffre in diesem Beispielbefehl auf Ressourcen im richtlinienbeschränkten Projekt zuzugreifen. Es wird eine Fehlermeldung ähnlich dem folgenden Beispiel zurückgegeben, die den Grund für diesen Fehler beschreibt.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

Organisationsrichtlinie im Probelaufmodus erstellen

Eine Organisationsrichtlinie im Probelaufmodus ist eine Art von Organisationsrichtlinie, bei der Verstöße gegen die Richtlinie im Audit-Log protokolliert werden, die entsprechenden Aktionen jedoch nicht abgelehnt werden. Sie können eine Organisationsrichtlinie im Probelaufmodus mit der Einschränkung „TLS Cipher Suite Restriction“ (Einschränkung für TLS-Cipher-Suites) erstellen, um zu beobachten, wie sie sich auf Ihre Organisation auswirken würde, bevor Sie die aktive Richtlinie erzwingen. Weitere Informationen finden Sie unter Organisationsrichtlinie im Probelaufmodus erstellen.

Unterstützte Dienste

Die folgenden Dienste unterstützen die Funktion „TLS-Cipher-Suites beschränken“. Die Einschränkung gilt für alle Varianten des API-Endpunkt, einschließlich globaler, standortbezogener und regionaler Endpunkte. Weitere Informationen finden Sie auf der Seite API-Endpunkttypen.

Nicht unterstützte Dienste

Die Einschränkung der Organisationsrichtlinie zum Einschränken von TLS-Cipher-Suites gilt nicht für die folgenden Dienste:

• App Engine (*.appspot.com)
• Cloud Run-Funktionen (*.cloudfunctions.net),
• Cloud Run (*.run.app)
• Private Service Connect
• Benutzerdefinierte Domains

Wenn Sie TLS-Cipher-Suites für diese Dienste einschränken möchten, verwenden Sie Cloud Load Balancing zusammen mit einer SSL-Sicherheitsrichtlinie.

Google Cloud Cipher-Suite-Einstellung

Bei Endpunkten für unterstützte Dienste wird AES-256 vor AES-128 und AES-128 vor ChaCha20 priorisiert. Clients, die AES‑256 unterstützen, sollten die Verschlüsselung ohne Konfigurationsänderungen erfolgreich aushandeln können.