Restreindre les suites de chiffrement TLS

Cette page explique comment empêcher l'accès aux ressources Google Cloud en refusant les requêtes effectuées à l'aide de certaines suites de chiffrement TLS (Transport Layer Security) moins sécurisées.

Présentation

Google Cloud est compatible avec plusieurs suites de chiffrement TLS. Pour répondre aux exigences de sécurité ou de conformité, vous pouvez refuser les requêtes des clients qui utilisent des suites de chiffrement TLS moins sécurisées.

Cette fonctionnalité est fournie par la contrainte de règle d'administration gcp.restrictTLSCipherSuites. La contrainte peut être appliquée aux organisations, aux dossiers ou aux projets dans la hiérarchie des ressources.

Vous pouvez utiliser la contrainte gcp.restrictTLSCipherSuites comme liste d'autorisation ou comme liste de refus :

• Liste d'autorisation : autorise un ensemble spécifique de suites de chiffrement. Toutes les autres sont refusées.
• Liste de refus : refuse un ensemble spécifique de suites de chiffrement. Toutes les autres sont autorisées.

En raison du comportement de l'évaluation de la hiérarchie des règles d'administration, la contrainte "Restreindre les suites de chiffrement TLS" s'applique au nœud de ressource spécifié et à tous ses enfants. Par exemple, si vous n'autorisez que certaines suites de chiffrement TLS pour une organisation, cela s'applique également à tous les dossiers et projets (enfants) qui dépendent de cette organisation.

Avant de commencer

Pour obtenir les autorisations nécessaires pour définir, modifier ou supprimer des règles d'administration, demandez à votre administrateur de vous accorder le rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) dans l'organisation. Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Définir la règle d'administration

La contrainte "Limiter les suites de chiffrement TLS" est un type de contrainte de liste. Vous pouvez ajouter et supprimer des suites de chiffrement dans les listes allowed_values ou denied_values d'une contrainte "Restreindre les suites de chiffrement TLS". Pour éviter que les règles d'administration ne soient trop restrictives et pour simplifier leur gestion, utilisez des groupes de valeurs. Les groupes de valeurs sont des suites de chiffrement TLS recommandées et sélectionnées par Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Groupes de valeurs

Les groupes de valeurs sont des collections de suites de chiffrement choisies par Google pour vous permettre de définir plus facilement les suites de chiffrement TLS préférées ou recommandées. Les groupes de valeurs incluent plusieurs suites de chiffrement et sont développés au fil du temps par Google. Vous n'avez pas besoin de modifier la règle de votre organisation pour tenir compte des nouvelles suites de chiffrement.

Pour utiliser des groupes de valeurs dans vos règles d'administration, ajoutez la chaîne in: à vos entrées en tant que préfixe. Pour en savoir plus sur l'utilisation des préfixes de valeurs, consultez la page Utiliser des contraintes. Les noms de groupes de valeurs sont validés lors de l'appel permettant de définir la règle d'administration. Si vous utilisez un nom de groupe non valide, le paramètre de règle ne sera pas appliqué.

Le tableau suivant contient la liste actuelle des groupes disponibles :

Suites de chiffrement compatibles

Voici la liste des suites de chiffrement compatibles avec Google Cloud.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

Message d'erreur

Les services compatibles avec la contrainte "Restreindre les suites de chiffrement TLS" refusent les requêtes qui ne la respectent pas.

Exemple de message d'erreur

Le message d'erreur se présente ainsi :

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

Ce résultat inclut les valeurs suivantes :

• PROJECT_NUMBER : numéro du projet hébergeant la ressource mentionnée dans la commande précédente.
• SERVICE_NAME : nom du service concerné bloqué par la règle "Restreindre les suites de chiffrement TLS".
• TLS_Cipher_Suite_X : suite de chiffrement TLS utilisée dans la requête.

Exemple de journal d'audit Cloud

Une entrée de journal d'audit est également générée pour optimiser la surveillance, les alertes ou le débogage. L'entrée de journal d'audit ressemble à l'exemple suivant :

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

Tester la stratégie

Vous pouvez tester la contrainte de règle de restriction des suites de chiffrement TLS pour n'importe quel service concerné. L'exemple de commande curl suivant valide la restriction des suites de chiffrement TLS pour un trousseau de clés Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

Remplacez les variables suivantes :

• TLS_CIPHER_SUITE : nom de la suite de chiffrement TLS dans la convention de dénomination OpenSSL, par exemple ECDHE-ECDSA-AES128-SHA, qui est le nom OpenSSL pour TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• PROJECT_ID : nom du projet contenant le trousseau de clés

L'exemple de requête curl suivant montre PROJECT_ID défini sur my-project-id et TLS_CIPHER_SUITE défini sur ECDHE-ECDSA-AES128-SHA :

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Si la règle d'administration pour "my-project-id" est configurée pour refuser TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA , toute tentative d'accès aux ressources avec le chiffrement dans le projet soumis à des règles dans cet exemple de commande échoue. Un message d'erreur semblable à l'exemple suivant s'affiche pour indiquer la raison de cet échec.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

Créer une règle d'administration en mode dry run

Une règle d'administration en mode simulation est un type de règle d'administration pour lequel les cas de non-respect de la règle sont consignés dans le journal d'audit, mais les actions non conformes ne sont pas refusées. Vous pouvez créer une règle d'administration en mode simulation à l'aide de la contrainte de restriction de suite de chiffrement TLS pour surveiller son impact sur votre organisation avant d'appliquer la règle en direct. Pour en savoir plus, consultez Créer une règle d'administration en mode simulation.

Services compatibles

Les services suivants sont compatibles avec la fonctionnalité "Limiter les suites de chiffrement TLS". La contrainte s'applique à toutes les variantes du point de terminaison de l'API, y compris les points de terminaison mondiaux, locaux et régionaux. Pour en savoir plus, consultez la page Types de points de terminaison d'API.

Services incompatibles

La contrainte de règle d'administration "Restreindre les suites de chiffrement TLS" ne s'applique pas aux services suivants :

• App Engine (*.appspot.com)
• Fonctions Cloud Run (*.cloudfunctions.net),
• Cloud Run (*.run.app)
• Private Service Connect
• Domaines personnalisés

Pour restreindre les suites de chiffrement TLS pour ces services, utilisez Cloud Load Balancing avec la règle de sécurité SSL.

Préférence de la suite de chiffrementGoogle Cloud

Les points de terminaison des services compatibles privilégient AES-256 par rapport à AES-128 et à ChaCha20. Les clients compatibles avec AES-256 devraient pouvoir négocier avec succès sans nécessiter de modification de la configuration.