TLS 暗号スイートを制限する

このページでは、安全性の低い特定の Transport Layer Security（TLS）暗号スイートを使用して行われたリクエストを拒否することで、 Google Cloud リソースへのアクセスを防止する方法について説明します。

概要

Google Cloud は、複数の TLS 暗号スイートをサポートしています。セキュリティ要件またはコンプライアンス要件を満たすため、安全性の低い TLS 暗号スイートを使用しているクライアントからのリクエストを拒否する場合があります。

この機能は、gcp.restrictTLSCipherSuites 組織のポリシーの制約によって提供されています。この制約は、リソース階層内の組織、フォルダ、プロジェクトに適用できます。

gcp.restrictTLSCipherSuites 制約は、許可リストまたは拒否リストとして使用できます。

• 許可リスト: 特定の暗号スイートのセットを許可します。他のすべてのリクエストは拒否されます。
• 拒否リスト: 特定の暗号スイートのセットを拒否します。他のすべてのユーザーは許可されます。

組織のポリシー階層の評価の動作により、TLS 暗号スイートの制限制約は指定されたリソースノードとそのすべての子に適用されます。たとえば、組織で特定の TLS 暗号スイートのみを許可すると、その組織の子孫であるすべてのフォルダとプロジェクト（子）にも適用されます。

始める前に

組織のポリシーの設定、変更、削除に必要な権限を取得するには、組織に対する組織のポリシー管理者 （roles/orgpolicy.policyAdmin）の IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

組織ポリシーの設定

TLS 暗号スイートを制限する制約は、リスト型制約の一種です。TLS 暗号スイートの制限制約の allowed_values リストまたは denied_values リストに対して、暗号スイートの追加または削除を行えます。組織のポリシーが過度に制限的になるのを防ぎ、ポリシー管理を簡素化するには、値グループを使用します。値グループは、Google が厳選した推奨 TLS 暗号スイートです。

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

値グループ

値グループは、優先または推奨される TLS 暗号スイートを簡単に定義できるようにするために Google によってキュレートされた暗号スイートのコレクションです。値グループには複数の暗号スイートが含まれており、時間の経過とともに Google によって拡張されます。新しい暗号スイートに対応するために、組織のポリシーを変更する必要はありません。

組織のポリシーで値グループを使用するには、エントリの先頭に文字列 in: を付加します。値接頭辞の使用方法については、制約の使用をご覧ください。 組織のポリシーを設定するための呼び出しで、値グループ名が検証されます。無効なグループ名を使用すると、ポリシー設定が失敗します。

次の表に、現時点で使用可能なグループのリストを示します。

サポートされている暗号スイート

これは、 Google Cloudでサポートされている暗号スイートのリストです。

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256

エラー メッセージ

TLS 暗号スイートの制限の制約をサポートするサービスは、制約に違反するリクエストを拒否します。

エラー メッセージの例

エラー メッセージの形式は次の例のようになります。

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

この出力には次の値が含まれます。

• PROJECT_NUMBER: 前のコマンドで参照されているリソースをホストするプロジェクト番号。
• SERVICE_NAME: TLS 暗号スイートの制限ポリシーによってブロックされたスコープ内のサービスの名前。
• TLS_Cipher_Suite_X: リクエストで使用される TLS 暗号スイート。

Cloud Audit Logs の例

また、監査ログエントリが、詳細なモニタリング、アラート、デバッグ用に生成されます。監査ログエントリは次のようになります。

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

ポリシーのテスト

TLS 暗号制限ポリシーの制約は、任意のスコープ内サービスでテストできます。次の curl コマンドの例は、Cloud Key Management Service キーリングの TLS 暗号スイートの制限を検証します。

curl --ciphers TLS_CIPHER_SUITE --tls_max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

次の変数を置き換えます。

• TLS_CIPHER_SUITE: OpenSSL 命名規則の TLS 暗号スイート名（TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA の OpenSSL 名である ECDHE-ECDSA-AES128-SHA など）。

• PROJECT_ID: キーリングを含むプロジェクトの名前

次の curl リクエストの例では、PROJECT_ID が my-project-id に設定され、TLS_CIPHER_SUITE が ECDHE-ECDSA-AES128-SHA に設定されています。

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

「my-project-id」の組織のポリシーが TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA を拒否するように構成されている場合、この例のコマンドでポリシー制限されたプロジェクトで、暗号を使用してリソースにアクセスしようとすると失敗します。失敗の理由を説明する次のようなエラー メッセージが返されます。

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

ドライラン モードで組織のポリシーを作成する

ドライラン モードの組織のポリシーは、ポリシーの違反が監査ログに記録されながら違反アクションは拒否されないタイプの組織のポリシーです。TLS 暗号スイートの制限制約を使用して、ドライラン モードで組織のポリシーを作成して、それが組織にどう影響するかを、ライブのポリシーを適用する前にモニタリングできます。詳細については、ドライラン モードで組織のポリシーを作成するをご覧ください。

サポート対象のサービス

次のサービスは、TLS 暗号スイートの制限をサポートしています。この制約は、グローバル エンドポイント、ロケーション エンドポイント、リージョン エンドポイントなど、API エンドポイントのすべてのバリエーションに適用されます。詳細については、API エンドポイント タイプのページをご覧ください。

サポートされていないサービス

TLS 暗号スイートの制限に関する組織のポリシーの制約は、次のサービスには適用されません。

• Apigee（*.apigee.net、*.apigee.com、*.apigee.io）
• App Engine（*.appspot.com）
• Cloud Run functions（*.cloudfunctions.net）、
• Cloud Run（*.run.app）
• Private Service Connect
• カスタム ドメイン

これらのサービスの TLS 暗号スイートを制限するには、SSL セキュリティ ポリシーとともに Cloud Load Balancing を使用します。

Google Cloud 暗号スイートの設定

サポートされているサービスのエンドポイントは、優先度の高い順に次の順序で暗号スイートを優先します。

1. AES-256
2. AES-128
3. ChaCha20

TLS handshake の間に、サーバーはクライアントとサーバーの両方がサポートする最も優先度の高い暗号スイートを選択します。通常、この選択プロセスでは、クライアント側で特定の構成変更を行う必要はありません。

TLS ハンドシェイクは、TLS 暗号スイートの制限ポリシーのチェックの前に行われ、ポリシーのチェックとは別に行われます。そのため、TLS handshake 中にネゴシエートされた暗号スイートは、[TLS 暗号スイートを制限する] ポリシーのチェックでも許可されている必要があります。それ以外の場合、接続は拒否されます。ポリシーの所有者は、ネゴシエートされた暗号スイートを許可するように、TLS 暗号スイートとクライアント アプリケーションの制限を構成する必要があります。