Limita le suite di crittografia TLS

Questa pagina descrive come impedire l'accesso alle risorse negando le richieste effettuate utilizzando determinate suite di crittografia TLS (Transport Layer Security) meno sicure. Google Cloud

Panoramica

Google Cloud supporta più suite di crittografia TLS. Per soddisfare i requisiti di sicurezza o conformità, potresti voler rifiutare le richieste dei client che utilizzano suite di crittografia TLS meno sicure.

Questa funzionalità è fornita dal gcp.restrictTLSCipherSuites vincolo del criterio dell'organizzazione. Il vincolo può essere applicato a organizzazioni, cartelle o progetti nella gerarchia delle risorse.

Puoi utilizzare il vincolo gcp.restrictTLSCipherSuites come lista consentita o come lista bloccata:

• Elenco consentito: Consente un insieme specifico di suite di crittografia. Tutte le altre richieste vengono rifiutate.
• Elenco di negazione: Nega un insieme specifico di suite di crittografia. Tutti gli altri sono consentiti.

A causa del comportamento di valutazione della gerarchia dei criteri dell'organizzazione, il vincolo Limita suite di crittografia TLS si applica al nodo della risorsa specificato e a tutti i relativi elementi secondari. Ad esempio, se consenti solo determinate suite di crittografia TLS per un'organizzazione, queste si applicano anche a tutte le cartelle e i progetti (secondari) che derivano da quell'organizzazione.

Prima di iniziare

Per ottenere le autorizzazioni necessarie per impostare, modificare o eliminare le policy dell'organizzazione, chiedi all'amministratore di concederti il ruolo IAM Amministratore policy dell'organizzazione (roles/orgpolicy.policyAdmin) nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Impostazione del criterio dell'organizzazione

Il vincolo Limita le suite di crittografia TLS è un tipo di vincolo di elenco. Puoi aggiungere e rimuovere le suite di crittografia dagli elenchi allowed_values o denied_values di un vincolo Limita le suite di crittografia TLS. Per evitare che le policy dell'organizzazione siano troppo restrittive e per semplificare la gestione delle policy, utilizza i gruppi di valori. I gruppi di valori sono suite di crittografia TLS consigliate e curate da Google.

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Gruppi di valori

I gruppi di valori sono raccolte di suite di crittografia curate da Google per fornire un modo più semplice per definire le suite di crittografia TLS preferite o consigliate. I gruppi di valori includono più suite di crittografia e vengono espansi nel tempo da Google. Non è necessario modificare i criteri dell'organizzazione per adattarsi alle nuove suite di crittografia.

Per utilizzare i gruppi di valori nelle policy dell'organizzazione, aggiungi il prefisso in: alle voci. Per ulteriori informazioni sull'utilizzo dei prefissi dei valori, consulta la sezione Utilizzare i vincoli. I nomi dei gruppi di valori vengono convalidati nella chiamata per impostare i criteri dell'organizzazione. L'utilizzo di un nome di gruppo non valido causerà l'errore dell'impostazione del criterio.

La seguente tabella contiene l'elenco attuale dei gruppi disponibili:

Suite di crittografia supportate

Questo è l'elenco delle suite di crittografia supportate da Google Cloud.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

Messaggio di errore

I servizi che supportano il vincolo Limita suite di crittografia TLS negano le richieste che lo violano.

Esempio di messaggio di errore

Il messaggio di errore ha un formato simile al seguente esempio:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

Questo output include i seguenti valori:

• PROJECT_NUMBER: il numero di progetto che ospita la risorsa a cui si fa riferimento nel comando precedente.
• SERVICE_NAME: il nome del servizio incluso nell'ambito bloccato dalla policy Limita suite di crittografia TLS.
• TLS_Cipher_Suite_X: la suite di crittografia TLS utilizzata nella richiesta.

Esempio di audit log di Cloud

Viene generata anche una voce di log di controllo per ulteriori monitoraggi, avvisi o debug. La voce di log di controllo è simile al seguente esempio:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.