Membatasi cipher suite TLS

Halaman ini menjelaskan cara mencegah akses ke resource Google Cloud dengan menolak permintaan yang dibuat menggunakan cipher suite Transport Layer Security (TLS) tertentu yang kurang aman.

Ringkasan

Google Cloud mendukung beberapa cipher suite TLS. Untuk memenuhi persyaratan keamanan atau kepatuhan, Anda dapat menolak permintaan dari klien yang menggunakan cipher suite TLS yang kurang aman.

Kemampuan ini disediakan oleh batasan kebijakan organisasi gcp.restrictTLSCipherSuites. Batasan dapat diterapkan pada organisasi, folder, atau project dalam hierarki resource.

Anda dapat menggunakan batasan gcp.restrictTLSCipherSuites sebagai daftar yang diizinkan atau sebagai daftar yang ditolak:

• Daftar yang diizinkan: Mengizinkan kumpulan cipher suite tertentu. Semua yang lain akan ditolak.
• Daftar tolak: menolak kumpulan cipher suite tertentu. Semua yang lain diizinkan.

Karena perilaku evaluasi hierarki kebijakan organisasi, batasan Batasi cipher suite TLS berlaku untuk node resource yang ditentukan dan semua turunannya. Misalnya, jika Anda hanya mengizinkan cipher suite TLS tertentu untuk organisasi, setelan ini juga berlaku untuk semua folder dan project (turunan) yang berasal dari organisasi tersebut.

Sebelum memulai

Untuk mendapatkan izin yang Anda perlukan untuk menetapkan, mengubah, atau menghapus kebijakan organisasi, minta administrator untuk memberi Anda Administrator kebijakan organisasi (roles/orgpolicy.policyAdmin) peran IAM di organisasi. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Menetapkan kebijakan organisasi

Batasan Rangkaian sandi TLS yang Dibatasi adalah jenis batasan daftar. Anda dapat menambahkan dan menghapus cipher suite dari daftar allowed_values atau denied_values dari batasan Restrict TLS cipher suites. Untuk mencegah kebijakan organisasi menjadi terlalu ketat dan menyederhanakan pengelolaan kebijakan, gunakan grup nilai. Grup nilai adalah cipher suite TLS yang direkomendasikan dan diseleksi oleh Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Grup nilai

Grup nilai adalah kumpulan cipher suite yang dipilih oleh Google untuk memberikan cara yang lebih sederhana dalam menentukan cipher suite TLS yang disukai atau direkomendasikan. Grup nilai mencakup beberapa cipher suite dan diperluas dari waktu ke waktu oleh Google. Anda tidak perlu mengubah kebijakan organisasi untuk mengakomodasi cipher suite baru.

Untuk menggunakan grup nilai dalam kebijakan organisasi Anda, beri awalan pada entri Anda dengan string in:. Untuk informasi selengkapnya tentang penggunaan awalan nilai, lihat Menggunakan Batasan. Nama grup nilai divalidasi pada panggilan untuk menetapkan kebijakan organisasi. Penggunaan nama grup yang tidak valid akan menyebabkan setelan kebijakan gagal.

Tabel berikut berisi daftar grup yang tersedia saat ini:

Cipher suite yang didukung

Ini adalah daftar cipher suite yang didukung oleh Google Cloud.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

Pesan error

Layanan yang mendukung batasan cipher suite TLS Batasi menolak permintaan yang melanggar batasan.

Contoh pesan error

Pesan error memiliki format yang mirip dengan contoh berikut:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

Output ini mencakup nilai-nilai berikut:

• PROJECT_NUMBER: nomor project yang menghosting resource yang dirujuk dalam perintah sebelumnya.
• SERVICE_NAME: nama layanan dalam cakupan yang diblokir oleh kebijakan Batasi cipher suite TLS.
• TLS_Cipher_Suite_X: Suite Cipher TLS yang digunakan dalam permintaan.

Contoh Cloud Audit Log

Entri log audit juga dibuat untuk pemantauan, pemberitahuan, atau proses debug lebih lanjut. Entri log audit terlihat mirip dengan contoh berikut:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

Menguji kebijakan

Anda dapat menguji batasan kebijakan pembatasan cipher TLS untuk layanan dalam cakupan. Contoh perintah curl berikut memvalidasi cipher suite Restrict TLS untuk ring kunci Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

Ganti variabel berikut:

• TLS_CIPHER_SUITE: nama cipher suite TLS dalam konvensi penamaan OpenSSL, misalnya ECDHE-ECDSA-AES128-SHA yang merupakan nama OpenSSL untuk TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• PROJECT_ID: Nama project yang berisi ring kunci

Contoh permintaan curl berikut menunjukkan PROJECT_ID yang disetel ke my-project-id dan TLS_CIPHER_SUITE yang disetel ke ECDHE-ECDSA-AES128-SHA:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Jika kebijakan organisasi untuk 'my-project-id' dikonfigurasi untuk menolak TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA , setiap upaya untuk mengakses resource dengan cipher dalam project yang dibatasi kebijakan dalam contoh perintah ini akan gagal. Pesan error yang mirip dengan contoh berikut akan ditampilkan yang menjelaskan alasan kegagalan ini.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

Membuat kebijakan organisasi dalam mode uji coba

Kebijakan organisasi dalam mode uji coba adalah jenis kebijakan organisasi yang pelanggaran kebijakannya dicatat ke dalam log audit, tetapi tindakan yang melanggar tidak ditolak. Anda dapat membuat kebijakan organisasi dalam mode uji coba menggunakan batasan TLS Cipher Suite Restriction untuk memantau pengaruhnya terhadap organisasi Anda sebelum menerapkan kebijakan aktif. Untuk mengetahui informasi selengkapnya, lihat Membuat kebijakan organisasi dalam mode uji coba.

Layanan yang didukung

Layanan berikut mendukung cipher suite Restrict TLS. Batasan ini berlaku untuk semua variasi endpoint API, termasuk endpoint global, lokasi, dan regional. Lihat halaman Jenis endpoint API untuk mengetahui informasi selengkapnya.

Layanan yang tidak didukung

Batasan kebijakan organisasi Batasi cipher suite TLS tidak berlaku untuk layanan berikut:

• App Engine (*.appspot.com)
• Fungsi Cloud Run (*.cloudfunctions.net),
• Cloud Run (*.run.app)
• Private Service Connect
• Domain kustom

Untuk membatasi cipher suite TLS untuk layanan ini, gunakan Cloud Load Balancing bersama dengan kebijakan keamanan SSL.

Google Cloud preferensi cipher suite

Endpoint untuk layanan yang didukung memprioritaskan AES-256 daripada AES-128 daripada ChaCha20. Klien yang mendukung AES-256 akan berhasil melakukan negosiasi tanpa memerlukan perubahan konfigurasi apa pun.