Membatasi cipher suite TLS

Halaman ini menjelaskan cara mencegah akses ke resource Google Cloud dengan menolak permintaan yang dibuat menggunakan cipher suite Transport Layer Security (TLS) tertentu yang kurang aman.

Ringkasan

Google Cloud mendukung beberapa cipher suite TLS. Untuk memenuhi persyaratan keamanan atau kepatuhan, Anda mungkin ingin menolak permintaan dari klien yang menggunakan cipher suite TLS yang kurang aman.

Kemampuan ini disediakan oleh batasan kebijakan organisasi gcp.restrictTLSCipherSuites. Batasan dapat diterapkan pada organisasi, folder, atau project dalam hierarki resource.

Anda dapat menggunakan batasan gcp.restrictTLSCipherSuites sebagai daftar yang diizinkan atau sebagai daftar yang ditolak:

• Daftar yang diizinkan: Mengizinkan kumpulan cipher suite tertentu. Semua permintaan lainnya akan ditolak.
• Daftar penolakan: Menolak kumpulan cipher suite tertentu. Semua yang lain diizinkan.

Karena perilaku evaluasi hierarki kebijakan organisasi, batasan Batasi cipher suite TLS berlaku untuk node resource yang ditentukan dan semua turunannya. Misalnya, jika Anda hanya mengizinkan cipher suite TLS tertentu untuk sebuah organisasi, hal ini juga berlaku untuk semua folder dan project (turunan) yang berasal dari organisasi tersebut.

Catatan: Batasan Batasi cipher suite TLS diterapkan menggunakan konsistensi tertunda. Saat kebijakan organisasi diubah, mungkin perlu waktu hingga puluhan menit agar konsistensi diterapkan sepenuhnya.

Sebelum memulai

Untuk mendapatkan izin yang diperlukan untuk menetapkan, mengubah, atau menghapus kebijakan organisasi, minta administrator untuk memberi Anda peran IAM Organization policy administrator (roles/orgpolicy.policyAdmin) di organisasi. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Menetapkan kebijakan organisasi

Batasan Batasi cipher suite TLS adalah jenis batasan daftar. Anda dapat menambahkan dan menghapus cipher suite dari daftar allowed_values atau denied_values batasan Batasi cipher suite TLS. Agar kebijakan organisasi tidak terlalu ketat dan untuk menyederhanakan pengelolaan kebijakan, gunakan grup nilai. Grup nilai adalah cipher suite TLS yang direkomendasikan dan diseleksi oleh Google.

Catatan: TLS_AES_256_GCM_SHA384 tidak dapat ditambahkan ke daftar penolakan (denied_values). Karena TLS_AES_256_GCM_SHA384 adalah cipher suite TLS 1.3 pilihan Google Cloud, menolaknya dapat menyebabkan gangguan koneksi yang tidak diinginkan.

Konsol

1. Buka halaman Organization policies di konsol Google Cloud .

   Buka Organization policies

2. Pilih pemilih project di bagian atas halaman.

3. Dari pemilih project, pilih resource yang ingin Anda tetapkan kebijakan organisasinya.

4. Pilih batasan Restrict TLS cipher suites dari daftar di halaman Organization policies.

5. Guna memperbarui kebijakan organisasi untuk resource ini, klik Manage policy.

6. Pada halaman Edit, pilih Customize.

7. Di bagian Policy enforcement, pilih opsi penegakan:

   • Untuk menggabungkan dan mengevaluasi kebijakan organisasi Anda secara bersamaan, pilih Merge with parent. Untuk mengetahui informasi selengkapnya tentang pewarisan dan hierarki resource, lihat Memahami evaluasi hierarki.

   • Untuk mengganti kebijakan yang diwarisi dari resource induk, pilih Replace.

8. Klik Tambahkan Aturan.

9. Di bagian Policy values, pilih Custom.

10. Di bagian Policy type, pilih Allow untuk membuat daftar cipher suite yang diizinkan, atau pilih Deny untuk membuat daftar cipher suite yang ditolak.

11. Di bagian Custom values, masukkan awalan in: dan string grup nilai, lalu tekan Enter.

    • Misalnya, in:NIST-800-52-recommended-ciphers. Anda dapat memasukkan beberapa string grup nilai dengan mengklik Tambahkan nilai.

    • Anda juga dapat memasukkan string cipher suite tertentu menggunakan awalan is:. Untuk mengetahui daftar nilai yang didukung, lihat cipher suite yang didukung.

12. Untuk menerapkan kebijakan, klik Set policy.

gcloud

Untuk membuat kebijakan organisasi yang menerapkan batasan Batasi Cipher Suite TLS, buat file YAML kebijakan yang merujuk batasan tersebut:

constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

Untuk menerapkan kebijakan organisasi yang berisi batasan, jalankan perintah berikut:

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE RESOURCE_ID \
POLICY_PATH

Ganti kode berikut:

• RESOURCE_TYPE dengan organization, folder, atau project.

• RESOURCE_ID dengan ID organisasi, ID folder, project ID, atau nomor project Anda.

• POLICY_PATH dengan jalur lengkap ke file YAML yang berisi kebijakan organisasi.

Respons akan ditampilkan dengan hasil kebijakan organisasi baru:

constraint: constraints/gcp.restrictTLSCipherSuites
etag: COS9qr0GELii6o0C
listPolicy:
  allowedValues:
  - in:CNSA-2.0-recommended-ciphers
  - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
updateTime: '2025-02-11T00:50:44.565875Z'

Grup nilai

Grup nilai adalah kumpulan cipher suite yang diseleksi oleh Google untuk memberikan cara yang lebih sederhana dalam menentukan cipher suite TLS yang direkomendasikan atau disukai. Grup nilai mencakup beberapa cipher suite dan diperluas seiring waktu oleh Google. Anda tidak perlu mengubah kebijakan organisasi untuk mengakomodasi cipher suite baru.

Untuk menggunakan grup nilai dalam kebijakan organisasi, awali entri Anda dengan string in:. Untuk mengetahui informasi selengkapnya tentang penggunaan awalan nilai, lihat Menggunakan Batasan. Nama grup nilai divalidasi pada panggilan untuk menetapkan kebijakan organisasi. Penggunaan nama grup yang tidak valid akan menyebabkan setelan kebijakan gagal.

Tabel berikut berisi daftar grup yang tersedia saat ini:

Grup	Detail	Anggota langsung
CNSA-2.0-recommended-ciphers	Cipher yang direkomendasikan CNSA 2.0 yang didukung oleh Google Cloud: in:CNSA-2.0-recommended-ciphers	Nilai: TLS_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
NIST-800-52-recommended-ciphers	Cipher yang direkomendasikan NIST SP 800-52 yang didukung oleh Google Cloud: in:NIST-800-52-recommended-ciphers	Nilai: TLS_AES_128_GCM_SHA256 TLS_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

Cipher suite yang didukung

Peringatan: Hindari menolak semua cipher berikut dalam kebijakan karena akan menutup semua jalur akses ke hierarki resource Google Cloud (organisasi, folder, dan project).

Berikut adalah daftar cipher suite yang didukung oleh Google Cloud.

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_AES_128_GCM_SHA256 (TLS 1.3 cipher suite)
TLS_AES_256_GCM_SHA384 (TLS 1.3 cipher suite)
TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3 cipher suite)

Pesan error

Layanan yang mendukung batasan Batasi cipher suite TLS akan menolak permintaan yang melanggar batasan tersebut.

Contoh pesan error

Pesan error memiliki format yang mirip dengan contoh berikut:

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/PROJECT_NUMBER'.
Access to service
'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`
To access this resource, please use an allowed TLS Cipher Suite.

Output ini mencakup nilai-nilai berikut:

• PROJECT_NUMBER: nomor project yang menghosting resource yang dirujuk dalam perintah sebelumnya.
• SERVICE_NAME: nama layanan dalam cakupan yang diblokir oleh kebijakan Batasi cipher suite TLS.
• TLS_Cipher_Suite_X: Cipher suite TLS yang digunakan dalam permintaan.

Contoh Cloud Audit Log

Entri log audit juga dibuat untuk pemantauan, pemberitahuan, atau proses debug lebih lanjut. Entri log audit terlihat mirip dengan contoh berikut:

{
  logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-project-number"
    authenticationInfo: {
      principalEmail: "[e-mail]"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictTlsCipherSuites"
          errorMessage: "TLS Cipher Suite Restriction Org Policy is violated"
          policyType: "LIST_CONSTRAINT"
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "my-project-number"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2023-10-27T19:27:24.633477924Z"
  receiveTimestamp: "2023-10-27T19:27:25.071941737Z"
  insertId "42"
}

Catatan: Untuk permintaan API yang menggunakan kredensial pihak ketiga, authenticationInfo mungkin tidak muncul di log audit.

Menguji kebijakan

Anda dapat menguji batasan kebijakan pembatasan cipher TLS untuk layanan dalam cakupan apa pun. Contoh perintah curl berikut memvalidasi Batasi cipher suite TLS untuk key ring Cloud Key Management Service.

curl --ciphers TLS_CIPHER_SUITE --tls-max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose

Ganti variabel berikut:

• TLS_CIPHER_SUITE: nama cipher suite TLS dalam konvensi penamaan OpenSSL, misalnya ECDHE-ECDSA-AES128-SHA yang merupakan nama OpenSSL untuk TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.

• PROJECT_ID: Nama project yang berisi key ring

Contoh permintaan curl berikut menunjukkan PROJECT_ID yang ditetapkan ke my-project-id dan TLS_CIPHER_SUITE yang ditetapkan ke ECDHE-ECDSA-AES128-SHA:

curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \
  GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose

Jika kebijakan organisasi untuk 'my-project-id' dikonfigurasi untuk menolak TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA , maka setiap upaya untuk mengakses resource dengan cipher dalam project yang dibatasi kebijakan dalam contoh perintah ini akan gagal. Pesan error yang mirip dengan contoh berikut akan ditampilkan dan menjelaskan alasan kegagalan ini.

Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites
constraint for 'projects/my-project-id'.
Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher
Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`.
To access this resource, please use an allowed TLS Cipher Suite.

Membuat kebijakan organisasi dalam mode uji coba

Kebijakan organisasi dalam mode uji coba adalah jenis kebijakan organisasi yang pelanggarannya dicatat dalam log audit, tetapi tindakan yang melanggar tidak ditolak. Anda dapat membuat kebijakan organisasi dalam mode uji coba menggunakan batasan TLS Cipher Suite Restriction untuk memantau pengaruhnya terhadap organisasi Anda sebelum menerapkan kebijakan aktif. Untuk mengetahui informasi selengkapnya, lihat Membuat kebijakan organisasi dalam mode uji coba.

Layanan yang didukung

Layanan berikut mendukung Batasi cipher suite TLS. Batasan ini berlaku untuk semua variasi endpoint API, termasuk endpoint global, lokasi, dan regional. Lihat halaman jenis endpoint API untuk mengetahui informasi selengkapnya.

Produk	endpoint API
AI Platform	ml.googleapis.com
Gateway API	apigateway.googleapis.com
Kunci API	apikeys.googleapis.com
Access Context Intelligence	accesscontextintelligence.googleapis.com
Access Context Manager	accesscontextmanager.googleapis.com
Agent Gateway	networkservices.googleapis.com
Agent Identity API	agentidentity.googleapis.com
Agent Identity Credentials API	agentidentitycredentials.googleapis.com
Agent Registry	agentregistry.googleapis.com apphubendpoint.googleapis.com
AlloyDB untuk PostgreSQL	alloydb.googleapis.com
Hub API Apigee	apihub.googleapis.com
Apigee API Management API	apim.googleapis.com
Apigee Connect API	apigeeconnect.googleapis.com
Apigee portal API	apigeeportal.googleapis.com
Apigee Registry API	apigeeregistry.googleapis.com
Apigee	apigee.googleapis.com
App Config Manager API	appconfigmanager.googleapis.com
App Engine	appengine.googleapis.com
App Hub	apphub.googleapis.com
Application Design Center	designcenter.googleapis.com
Application Integration	integrations.googleapis.com
Artifact Analysis	containeranalysis.googleapis.com ondemandscanning.googleapis.com
Artifact Registry	artifactregistry.googleapis.com
Assured Open Source Software	assuredoss.googleapis.com
Assured Workloads	assuredworkloads.googleapis.com
Audit Manager	auditmanager.googleapis.com
Authorization Toolkit API	authztoolkit.googleapis.com
Backup and DR Service	backupdr.googleapis.com
Pencadangan untuk GKE	gkebackup.googleapis.com
Solusi Bare Metal	baremetalsolution.googleapis.com
Batch	batch.googleapis.com
Chrome Enterprise Premium	beyondcorp.googleapis.com
BigLake	biglake.googleapis.com
BigQuery BI Engine	bigquerybiengine.googleapis.com
Koneksi BigQuery	bigqueryconnection.googleapis.com
BigQuery Data Policy	bigquerydatapolicy.googleapis.com
Transfer Data BigQuery	bigquerydatatransfer.googleapis.com
BigQuery Migration	bigquerymigration.googleapis.com
BigQuery Reservation	bigqueryreservation.googleapis.com
BigQuery Saved Query API	bigquery-sq.googleapis.com
BigQuery Storage	bigquerystorage.googleapis.com
BigQuery	bigquery.googleapis.com
BigQuery sharing	analyticshub.googleapis.com
Bigtable	bigtable.googleapis.com bigtableadmin.googleapis.com
Otorisasi Biner	binaryauthorization.googleapis.com
Blockchain Analytics	blockchain.googleapis.com
Blockchain Node Engine	blockchainnodeengine.googleapis.com
Blockchain Validator Manager	blockchainvalidatormanager.googleapis.com
Capacity Planner	capacityplanner.googleapis.com
Certificate Authority Service	privateca.googleapis.com
Certificate Manager	certificatemanager.googleapis.com
Inventaris Aset Cloud	cloudasset.googleapis.com
Penagihan Cloud	cloudbilling.googleapis.com
Cloud Build	cloudbuild.googleapis.com
Cloud CDN	compute.googleapis.com
Cloud Commerce Consumer Procurement API	cloudcommerceconsumerprocurement.googleapis.com
Cloud Commerce Producer API	cloudcommerceproducer.googleapis.com
Managed Service untuk Apache Airflow	composer.googleapis.com
Cloud Controls Partner API	cloudcontrolspartner.googleapis.com
Cloud DNS	dns.googleapis.com
Cloud Data Fusion	datafusion.googleapis.com
Cloud Deploy	clouddeploy.googleapis.com
Cloud Deployment Manager	runtimeconfig.googleapis.com deploymentmanager.googleapis.com
Cloud Domains	domains.googleapis.com
Cloud Healthcare API	healthcare.googleapis.com
Cloud Interconnect	compute.googleapis.com
Cloud Intrusion Detection System	ids.googleapis.com
Cloud Key Management Service	cloudkms.googleapis.com kmsinventory.googleapis.com
Cloud Life Sciences	lifesciences.googleapis.com genomics.googleapis.com
Cloud Load Balancing	compute.googleapis.com
Cloud Logging	logging.googleapis.com
Cloud Monitoring	monitoring.googleapis.com
Cloud NAT	compute.googleapis.com
Cloud Natural Language API	language.googleapis.com
Cloud Next Generation Firewall Essentials	compute.googleapis.com networksecurity.googleapis.com
Cloud Next Generation Firewall Standard	compute.googleapis.com networksecurity.googleapis.com
Cloud OS Login API	oslogin.googleapis.com
Kuota Cloud	cloudquotas.googleapis.com
Image streaming	containerfilesystem.googleapis.com
Cloud Router	compute.googleapis.com
Cloud Run	run.googleapis.com runapps.googleapis.com
Cloud SQL	cloudsql.googleapis.com sqladmin.googleapis.com
Cloud Scheduler	cloudscheduler.googleapis.com
Cloud Service Mesh	meshconfig.googleapis.com meshca.googleapis.com networksecurity.googleapis.com networkservices.googleapis.com
Cloud Source Repositories	sourcerepo.googleapis.com
Cloud Storage	storage.googleapis.com
Cloud Support API	cloudsupport.googleapis.com
Cloud TPU	tpu.googleapis.com
Cloud Tasks	cloudtasks.googleapis.com
Cloud Tool Results API	toolresults.googleapis.com
Cloud Trace	cloudtrace.googleapis.com
Cloud Translation	translate.googleapis.com
Cloud VPN	compute.googleapis.com
Cloud Vision	vision.googleapis.com
Cloud Workstations	workstations.googleapis.com
Cluster Director	hypercomputecluster.googleapis.com
Commerce Agreement Publishing API	commerceagreementpublishing.googleapis.com
Commerce Business Enablement API	commercebusinessenablement.googleapis.com
Commerce Org Governance API	commerceorggovernance.googleapis.com
Commerce Price Management API	commercepricemanagement.googleapis.com
Compliance Manager	cloudsecuritycompliance.googleapis.com
Compute Engine	compute.googleapis.com
Confidential Computing	confidentialcomputing.googleapis.com
Connect	gkeconnect.googleapis.com
Connect gateway	connectgateway.googleapis.com
Contact Center AI Platform API	contactcenteraiplatform.googleapis.com
Container Threat Detection	containerthreatdetection.googleapis.com
Content Warehouse API	contentwarehouse.googleapis.com
Continuous Validation API	continuousvalidation.googleapis.com
Dialogflow CX	dialogflow.googleapis.com
Customer Experience Insights	contactcenterinsights.googleapis.com
Data Catalog	datacatalog.googleapis.com
Data Labeling API	datalabeling.googleapis.com
Data Security Posture Management API	dspm.googleapis.com
Data Studio	datastudio.googleapis.com
Database Center	databasecenter.googleapis.com
Database Migration Service	datamigration.googleapis.com
Dataflow	dataflow.googleapis.com
Dataform	dataform.googleapis.com
Knowledge Catalog	dataplex.googleapis.com datalineage.googleapis.com
Dataproc Metastore	metastore.googleapis.com
Managed Service untuk Apache Spark	dataproc.googleapis.com dataprocrm.googleapis.com
Dataproc on GDC	dataprocgdc.googleapis.com
Datastream	datastream.googleapis.com
Developer Connect	developerconnect.googleapis.com
Distributed Cloud Edge Container API	edgecontainer.googleapis.com
Distributed Cloud Edge Network API	edgenetwork.googleapis.com
Google Distributed Cloud	opsconfigmonitoring.googleapis.com gdcvmmanager.googleapis.com gdchardwaremanagement.googleapis.com
Earth Engine API	earthengine.googleapis.com
Enterprise Knowledge Graph	enterpriseknowledgegraph.googleapis.com
Error Reporting	clouderrorreporting.googleapis.com
Kontak Penting	essentialcontacts.googleapis.com
Eventarc	eventarc.googleapis.com eventarcpublishing.googleapis.com
Pengujian Injeksi Kesalahan	faultinjectiontesting.googleapis.com
Filestore	file.googleapis.com
Financial Services API	financialservices.googleapis.com
Firebase AI Logic	firebasevertexai.googleapis.com
Firebase App Hosting	firebaseapphosting.googleapis.com
Firebase Data Connect	firebasedataconnect.googleapis.com
Aturan Keamanan Firebase	firebaserules.googleapis.com
Firebase Storage API	firebasestorage.googleapis.com
Firestore	firestore.googleapis.com firestorekeyvisualizer.googleapis.com
Firestore dalam mode Datastore (Datastore)	datastore.googleapis.com
GKE Dataplane Management	gkedataplanemanagement.googleapis.com
GKE Enterprise Edge API	anthosedge.googleapis.com
Fleet GKE (Fleet)	gkehub.googleapis.com
GKE Identity Service	anthosidentityservice.googleapis.com
GKE Multi-Cloud	gkemulticloud.googleapis.com
GKE On-Prem API	gkeonprem.googleapis.com
Gemini for Google Cloud API	cloudaicompanion.googleapis.com
Google Antigravity untuk Enterprise	businessaicode.googleapis.com
Google Cloud API	cloud.googleapis.com
Google Cloud Armor	compute.googleapis.com
Google Cloud Migration Center	migrationcenter.googleapis.com rapidmigrationassessment.googleapis.com
Google Cloud NetApp Volumes	netapp.googleapis.com
Google Cloud Observability	stackdriver.googleapis.com
Google Cloud VMware Engine	vmwareengine.googleapis.com
Google Kubernetes Engine	container.googleapis.com containerfilesystem.googleapis.com configdelivery.googleapis.com
Google Security Operations Partner API	chroniclepartner.googleapis.com
Google Security Operations SIEM	chronicle.googleapis.com chronicleservicemanager.googleapis.com
Add-on Google Workspace	gsuiteaddons.googleapis.com
Identity and Access Management	iam.googleapis.com
Identity-Aware Proxy	iap.googleapis.com
Immersive Stream	stream.googleapis.com
Infrastructure Manager	config.googleapis.com
Integration Connectors	connectors.googleapis.com
KRM API Hosting	krmapihosting.googleapis.com
License Manager API	licensemanager.googleapis.com
Live Stream API	livestream.googleapis.com
Looker	looker.googleapis.com
BigQuery Engine untuk Apache Flink	managedflink.googleapis.com
Managed Kafka API	managedkafka.googleapis.com
Google Cloud Managed Lustre	lustre.googleapis.com
Layanan Terkelola untuk Microsoft Active Directory	managedidentities.googleapis.com
Media Asset Manager	mediaasset.googleapis.com
Memorystore for Memcached	memcache.googleapis.com
Memorystore for Redis	redis.googleapis.com
Memorystore for Valkey	memorystore.googleapis.com
Microservices API	microservices.googleapis.com
Migrate to Virtual Machines	vmmigration.googleapis.com
Model Armor	modelarmor.googleapis.com
Network Connectivity Center	networkconnectivity.googleapis.com
Network Intelligence Center	networkmanagement.googleapis.com
Network Service Tiers	compute.googleapis.com
Oracle Database@Google Cloud	oracledatabase.googleapis.com
Parallelstore	parallelstore.googleapis.com
Parameter Manager	parametermanager.googleapis.com
Persistent Disk	compute.googleapis.com
Personalized Service Health	servicehealth.googleapis.com
Policy Intelligence	policyanalyzer.googleapis.com policysimulator.googleapis.com policytroubleshooter.googleapis.com
Privileged Access Manager	privilegedaccessmanager.googleapis.com
Peluncuran Bertahap	progressiverollout.googleapis.com
Pub/Sub	pubsub.googleapis.com
Public Certificate Authority	publicca.googleapis.com
Pemberi Rekomendasi	recommender.googleapis.com
Remote Build Execution	remotebuildexecution.googleapis.com
AI Commerce Search API	retail.googleapis.com
Cyber Insurance Hub	riskmanager.googleapis.com
SaaS Service Management API	saasservicemgmt.googleapis.com
SecLM API	seclm.googleapis.com
Secret Manager	secretmanager.googleapis.com
Secure Source Manager	securesourcemanager.googleapis.com
Secured Landing Zone API	securedlandingzone.googleapis.com
Security Command Center	securitycenter.googleapis.com securitycentermanagement.googleapis.com securityposture.googleapis.com
Sensitive Data Protection	dlp.googleapis.com
Service Account Credentials API	iamcredentials.googleapis.com
Direktori Layanan	servicedirectory.googleapis.com
Pengelolaan Layanan	servicemanagement.googleapis.com
Service Networking	servicenetworking.googleapis.com
Service Usage	serviceusage.googleapis.com
Spanner	spanner.googleapis.com
ID Pembicara	speakerid.googleapis.com
Speech-to-Text	speech.googleapis.com
Insight Penyimpanan	storageinsights.googleapis.com
Storage Transfer Service	storagebatchoperations.googleapis.com storagetransfer.googleapis.com
Talent Solution	jobs.googleapis.com
Text-to-Speech	texttospeech.googleapis.com
Timeseries Insights API	timeseriesinsights.googleapis.com
Traffic Director API	trafficdirector.googleapis.com
Transcoder API	transcoder.googleapis.com
Transfer Appliance	transferappliance.googleapis.com
VM Manager	osconfig.googleapis.com
Agent Platform API	aiplatform.googleapis.com
Gemini Enterprise Agent Platform Workbench	notebooks.googleapis.com
Video Intelligence API	videointelligence.googleapis.com
Video Search API	cloudvideosearch.googleapis.com
Video Stitcher API	videostitcher.googleapis.com
Virtual Private Cloud (VPC)	compute.googleapis.com
Vision AI	visionai.googleapis.com
Visual Inspection AI	visualinspection.googleapis.com
Web Risk	webrisk.googleapis.com
Web Security Scanner	websecurityscanner.googleapis.com
Workflows	workflows.googleapis.com workflowexecutions.googleapis.com
Workload Certificate API	workloadcertificate.googleapis.com
Workload Manager	workloadmanager.googleapis.com
reCAPTCHA Enterprise	recaptchaenterprise.googleapis.com

Layanan yang tidak didukung

Batasan kebijakan organisasi Batasi cipher suite TLS tidak berlaku untuk layanan berikut:

• Apigee (*.apigee.net, *.apigee.com, dan *.apigee.io)
• App Engine (*.appspot.com)
• Cloud Run Functions (*.cloudfunctions.net),
• Cloud Run (*.run.app)
• Private Service Connect
• Domain kustom

Untuk membatasi cipher suite TLS untuk layanan ini, gunakan Cloud Load Balancing bersama dengan kebijakan keamanan SSL.

Google Cloud preferensi cipher suite

Endpoint untuk layanan yang didukung memprioritaskan cipher suite dalam urutan berikut, dari yang paling disukai hingga yang paling tidak disukai:

1. AES-256
2. AES-128
3. ChaCha20

Selama TLS handshake, server memilih cipher suite yang paling disukai yang didukung oleh klien dan server. Proses pemilihan ini biasanya tidak memerlukan perubahan konfigurasi tertentu di sisi klien.

TLS handshake terjadi sebelum pemeriksaan kebijakan Batasi cipher suite TLS dan terpisah dari pemeriksaan kebijakan. Oleh karena itu, cipher suite yang dinegosiasikan selama TLS handshake juga harus diizinkan oleh pemeriksaan kebijakan Batasi cipher suite TLS. Jika tidak, koneksi akan ditolak. Pemilik kebijakan bertanggung jawab untuk mengonfigurasi Batasi cipher suite TLS dan aplikasi klien untuk mengizinkan cipher suite yang dinegosiasikan.

Tips: Untuk mengonfigurasi Google Chrome agar mengurutkan cipher suite-nya sesuai dengan preferensi yang direkomendasikan CNSA, aktifkan flag chrome://#cryptography-compliance-cnsa. Untuk mengetahui informasi selengkapnya, lihat Kebijakan kepatuhan kriptografi eksperimental.