Auf dieser Seite wird beschrieben, wie Sie den Zugriff auf Google Cloud -Ressourcen verhindern können, indem Sie Anfragen ablehnen, die mit bestimmten weniger sicheren TLS-Cipher-Suites (Transport Layer Security) gestellt werden.
Übersicht
Google Cloud unterstützt mehrere TLS-Cipher-Suites. Um Sicherheits- oder Compliance-Anforderungen zu erfüllen, können Sie Anfragen von Clients ablehnen, die weniger sichere TLS-Cipher-Suites verwenden.
Diese Funktion wird durch die Einschränkung der Organisationsrichtlinie gcp.restrictTLSCipherSuites bereitgestellt.
Die Einschränkung kann auf Organisationen, Ordner oder Projekte in der Ressourcenhierarchie angewendet werden.
Sie können die Einschränkung gcp.restrictTLSCipherSuites entweder als Zulassungsliste oder als Sperrliste verwenden:
- Zulassungsliste: Lässt eine bestimmte Gruppe von Cipher Suites zu. Alle anderen werden abgelehnt.
- Sperrliste: Lehnt eine bestimmte Gruppe von Cipher Suites ab. Alle anderen sind zulässig.
Aufgrund des Verhaltens der Hierarchieauswertung von Organisationsrichtlinien gilt die Einschränkung „TLS-Cipher-Suites einschränken“ für den angegebenen Ressourcenknoten und alle seine untergeordneten Elemente. Wenn Sie beispielsweise nur bestimmte TLS-Cipher-Suites für eine Organisation zulassen, gilt dies auch für alle Ordner und Projekte (untergeordnete Elemente), die von dieser Organisation abstammen.
Hinweis
Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Organisationsrichtlinien-Administrator (roles/orgpolicy.policyAdmin) für die Organisation zu gewähren, um die Berechtigungen zu erhalten, die Sie zum Festlegen, Ändern oder Löschen von Organisationsrichtlinien benötigen.
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.
Organisationsrichtlinie festlegen
Die Einschränkung „TLS-Cipher-Suites beschränken“ ist eine Art von Listeneinschränkung. Sie können Cipher Suites in den Listen allowed_values oder denied_values einer Einschränkung für TLS-Cipher-Suites hinzufügen und daraus entfernen. Verwenden Sie Wertgruppen, um zu verhindern, dass Organisationsrichtlinien zu restriktiv sind, und um die Richtlinienverwaltung zu vereinfachen. Wertgruppen sind von Google zusammengestellte empfohlene TLS-Cipher-Suites.
Console
Öffnen Sie in der Google Cloud Console die Seite Organisationsrichtlinien.
Klicken Sie oben auf der Seite auf die Projektauswahl.
Wählen Sie in der Projektauswahl das Projekt aus, für das Sie die Organisationsrichtlinie festlegen möchten.
Wählen Sie auf der Seite Organisationsrichtlinien die Einschränkung TLS-Cipher-Suites einschränken aus der Liste aus.
Zum Konfigurieren der Organisationsrichtlinie für diese Ressource klicken Sie auf Richtlinie verwalten.
Wählen Sie auf der Seite Bearbeiten die Option Anpassen aus.
Wählen Sie unter Richtlinienerzwingung eine Erzwingungsoption aus:
Wählen Sie Mit übergeordneter Ressource zusammenführen aus, um die Organisationsrichtlinien zusammenzuführen und zu evaluieren. Weitere Informationen zur Übernahme und zur Ressourcenhierarchie finden Sie unter Informationen zur Bewertung der Hierarchie.
Wählen Sie Ersetzen aus, um Richtlinien zu überschreiben, die von einer übergeordneten Ressource übernommen wurden.
Klicken Sie auf Regel hinzufügen.
Wählen Sie unter Richtlinienwerte die Option Benutzerdefiniert.
Wählen Sie unter Richtlinientyp die Option Zulassen aus, um eine Liste der zulässigen Cipher Suites zu erstellen, oder wählen Sie Ablehnen aus, um eine Liste der abgelehnten Cipher Suites zu erstellen.
Geben Sie unter Benutzerdefinierte Werte das Präfix
in:und einen String für die Wertgruppe ein und drücken Sie die Eingabetaste.Beispiel:
in:NIST-800-52-recommended-ciphers. Sie können mehrere Wertgruppenstrings eingeben, indem Sie auf Wert hinzufügen klicken.Sie können auch bestimmte Cipher-Suite-Strings mit dem Präfix
is:eingeben. Eine Liste der unterstützten Werte finden Sie unter Unterstützte Cipher Suites.
Klicken Sie auf Richtlinie festlegen, um die Richtlinie zu erzwingen.
gcloud
Wenn Sie eine Organisationsrichtlinie erstellen möchten, die die Einschränkung „TLS-Cipher Suites einschränken“ erzwingt, erstellen Sie eine YAML-Richtliniendatei, die auf die Einschränkung verweist:
constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
allowedValues:
- in:CNSA-2.0-recommended-ciphers
- is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
Führen Sie den folgenden Befehl aus, um die Organisationsrichtlinie mit der Einschränkung zu erzwingen:
gcloud resource-manager org-policies set-policy \ --RESOURCE_TYPE RESOURCE_ID \ POLICY_PATH
Ersetzen Sie Folgendes:
RESOURCE_TYPEdurchorganization,folderoderproject.RESOURCE_IDdurch Ihre Organisations-ID, Ordner-ID, Projekt-ID oder Projektnummer.POLICY_PATHdurch den vollständigen Pfad zur YAML-Datei, die die Organisationsrichtlinie enthält.
Es wird eine Antwort mit den Ergebnissen der neuen Organisationsrichtlinie zurückgegeben:
constraint: constraints/gcp.restrictTLSCipherSuites etag: COS9qr0GELii6o0C listPolicy: allowedValues: - in:CNSA-2.0-recommended-ciphers - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA updateTime: '2025-02-11T00:50:44.565875Z'
Wertgruppen
Wertgruppen sind Sammlungen von Cipher Suites, die von Google ausgewählt wurden, um das Festlegen bevorzugter oder empfohlener TLS-Cipher-Suites zu erleichtern. Wertgruppen enthalten mehrere Cipher Suites und werden im Laufe der Zeit von Google erweitert. Sie müssen Ihre Organisationsrichtlinie nicht ändern, um die neuen Cipher Suites zu berücksichtigen.
Wenn Sie in Ihrer Organisationsrichtlinie Wertgruppen verwenden möchten, stellen Sie den Einträgen den String in: voran. Weitere Informationen zum Verwenden von Wertpräfixen finden Sie in diesem Artikel.
Die Namen der Wertgruppen werden beim Aufruf zum Festlegen der Organisationsrichtlinie validiert.
Wenn Sie einen ungültigen Gruppennamen verwenden, schlägt die Richtlinieneinstellung fehl.
In der folgenden Tabelle sind die aktuellen verfügbaren Gruppen aufgeführt:
| Gruppe | Details | Direkte Mitglieder |
|---|---|---|
| CNSA-2.0-recommended-ciphers | Von Google Cloud unterstützte, von CNSA 2.0 empfohlene Chiffren:in:CNSA-2.0-recommended-ciphers |
Werte:
|
| NIST-800-52-recommended-ciphers | Von Google Cloud unterstützte, von NIST SP 800-52 empfohlene Chiffren:in:NIST-800-52-recommended-ciphers |
Werte:
|
Unterstützte Cipher Suites
Dies ist die Liste der von Google Cloudunterstützten Cipher Suites.
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_AES_128_GCM_SHA256 (TLS 1.3 cipher suite)
TLS_AES_256_GCM_SHA384 (TLS 1.3 cipher suite)
TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3 cipher suite)
Fehlermeldung
Dienste, die die Einschränkung „TLS-Cipher-Suites beschränken“ unterstützen, lehnen Anfragen ab, die gegen die Einschränkung verstoßen.
Beispiel für Fehlermeldung
Die Fehlermeldung hat ein Format, das dem folgenden Beispiel ähnelt:
Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites constraint for 'projects/PROJECT_NUMBER'. Access to service 'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X` To access this resource, please use an allowed TLS Cipher Suite.
Diese Ausgabe enthält die folgenden Werte:
PROJECT_NUMBER: die Projektnummer, die die Ressource hostet, auf die im vorherigen Befehl verwiesen wurde.SERVICE_NAME: der Name des Dienstes im Geltungsbereich, der durch die Richtlinie „TLS-Cipher-Suites einschränken“ blockiert wird.TLS_Cipher_Suite_X: die in der Anfrage verwendete TLS-Cipher Suite.
Beispiel für ein Cloud-Audit-Log
Außerdem wird ein Audit-Logeintrag für weiteres Monitoring, Benachrichtigungen oder Debugging generiert. Der Audit-Logeintrag sieht in etwa so aus:
{ logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy" protoPayload: { @type: "type.googleapis.com/google.cloud.audit.AuditLog" status: { code: 7 message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`." } serviceName: "bigquery.googleapis.com" methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll" resourceName: "projects/my-project-number" authenticationInfo: { principalEmail: "user_or_service_account@example.com" } } requestMetadata: { callerIp: "123.123.123.123" } policyViolationInfo: { orgPolicyViolationInfo: { violationInfo: [ { constraint: "constraints/gcp.restrictTlsCipherSuites" errorMessage: "TLS Cipher Suite Restriction Org Policy is violated" policyType: "LIST_CONSTRAINT" } ] } } resource: { type: "audited_resource" labels: { project_id: "my-project-number" method: "google.cloud.bigquery.v2.TableDataService.InsertAll" service: "bigquery.googleapis.com" } } severity: "ERROR" timestamp: "2023-10-27T19:27:24.633477924Z" receiveTimestamp: "2023-10-27T19:27:25.071941737Z" insertId "42" }
Richtlinie testen
Sie können die Einschränkung der TLS-Chiffre-Richtlinie für jeden Dienst im Geltungsbereich testen. Im folgenden Beispiel wird mit dem Befehl curl die Einschränkung von TLS-Cipher-Suites für einen Cloud Key Management Service-Schlüsselbund validiert.
curl --ciphers TLS_CIPHER_SUITE --tls-max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \ "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose
Ersetzen Sie die folgenden Variablen:
TLS_CIPHER_SUITE: der Name der TLS-Cipher Suite in der OpenSSL-Namenskonvention, z. B.ECDHE-ECDSA-AES128-SHA, der OpenSSL-Name fürTLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.PROJECT_ID: Name des Projekts, das den Schlüsselbund enthält
In der folgenden curl-Anfrage ist PROJECT_ID auf my-project-id und TLS_CIPHER_SUITE auf ECDHE-ECDSA-AES128-SHA festgelegt:
curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \ GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \ "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose
Wenn die Organisationsrichtlinie für „my-project-id“ so konfiguriert ist, dass TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA abgelehnt wird, schlägt jeder Versuch, mit der Chiffre im durch die Richtlinie eingeschränkten Projekt in diesem Beispielbefehl auf Ressourcen zuzugreifen, fehl.
Es wird eine Fehlermeldung wie im folgenden Beispiel zurückgegeben, die den Grund für diesen Fehler beschreibt.
Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites constraint for 'projects/my-project-id'. Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`. To access this resource, please use an allowed TLS Cipher Suite.
Organisationsrichtlinie im Probelaufmodus erstellen
Eine Organisationsrichtlinie im Probelaufmodus ist eine Art von Organisationsrichtlinie, bei der Verstöße gegen die Richtlinie im Audit-Log protokolliert, die verletzenden Aktionen jedoch nicht abgelehnt werden. Sie können eine Organisationsrichtlinie im Probelaufmodus mit der Einschränkung „TLS Cipher Suite Restriction“ erstellen, um zu beobachten, wie sich die Richtlinie auf Ihre Organisation auswirkt, bevor Sie sie live erzwingen. Weitere Informationen finden Sie unter Organisationsrichtlinie im Probelaufmodus erstellen.
Unterstützte Dienste
Die folgenden Dienste unterstützen die Beschränkung von TLS-Cipher-Suites. Die Einschränkung gilt für alle Varianten des API-Endpunkt, einschließlich globaler, standortbezogener und regionaler Endpunkte. Weitere Informationen finden Sie auf der Seite API-Endpunkttypen.
| Produkt | API-Endpunkt |
|---|---|
| AI Platform |
ml.googleapis.com |
| API Gateway |
apigateway.googleapis.com |
| API-Schlüssel |
apikeys.googleapis.com |
| Access Context Intelligence |
accesscontextintelligence.googleapis.com |
| Access Context Manager |
accesscontextmanager.googleapis.com |
| Agent Gateway |
networkservices.googleapis.com |
| Agent Registry |
agentregistry.googleapis.com |
| Agent Identity API |
agentidentity.googleapis.com |
| Agent Identity Credentials API |
agentidentitycredentials.googleapis.com |
| AlloyDB for PostgreSQL |
alloydb.googleapis.com |
| Apigee API-Hub |
apihub.googleapis.com |
| Apigee API Management API |
apim.googleapis.com |
| Apigee Connect API |
apigeeconnect.googleapis.com |
| Apigee Portal API |
apigeeportal.googleapis.com |
| Apigee Registry API |
apigeeregistry.googleapis.com |
| Apigee |
apigee.googleapis.com |
| App Config Manager API |
appconfigmanager.googleapis.com |
| App Engine |
appengine.googleapis.com |
| App Hub |
apphub.googleapis.com |
| Application Design Center |
designcenter.googleapis.com |
| Application Integration |
integrations.googleapis.com |
| Artefaktanalyse |
containeranalysis.googleapis.com ondemandscanning.googleapis.com |
| Artifact Registry |
artifactregistry.googleapis.com |
| Assured Open Source Software |
assuredoss.googleapis.com |
| Assured Workloads |
assuredworkloads.googleapis.com |
| Audit Manager |
auditmanager.googleapis.com |
| Authorization Toolkit API |
authztoolkit.googleapis.com |
| Backup- und DR-Dienst |
backupdr.googleapis.com |
| Backup for GKE |
gkebackup.googleapis.com |
| Bare-Metal-Lösung |
baremetalsolution.googleapis.com |
| Batch |
batch.googleapis.com |
| Chrome Enterprise Premium |
beyondcorp.googleapis.com |
| BigLake |
biglake.googleapis.com |
| BigQuery BI Engine |
bigquerybiengine.googleapis.com |
| BigQuery-Verbindungen |
bigqueryconnection.googleapis.com |
| BigQuery-Datenrichtlinie |
bigquerydatapolicy.googleapis.com |
| BigQuery Datenübertragung |
bigquerydatatransfer.googleapis.com |
| BigQuery-Migration |
bigquerymigration.googleapis.com |
| BigQuery-Reservierung |
bigqueryreservation.googleapis.com |
| BigQuery Saved Query API |
bigquery-sq.googleapis.com |
| BigQuery-Speicher |
bigquerystorage.googleapis.com |
| BigQuery |
bigquery.googleapis.com |
| BigQuery Sharing |
analyticshub.googleapis.com |
| Bigtable |
bigtable.googleapis.com bigtableadmin.googleapis.com |
| Binärautorisierung |
binaryauthorization.googleapis.com |
| Blockchain Analytics |
blockchain.googleapis.com |
| Blockchain Node Engine |
blockchainnodeengine.googleapis.com |
| Blockchain Validator Manager |
blockchainvalidatormanager.googleapis.com |
| Kapazitätsplaner |
capacityplanner.googleapis.com |
| Certificate Authority Service |
privateca.googleapis.com |
| Zertifikatmanager |
certificatemanager.googleapis.com |
| Cloud Asset Inventory |
cloudasset.googleapis.com |
| Cloud Billing |
cloudbilling.googleapis.com |
| Cloud Build |
cloudbuild.googleapis.com |
| Cloud CDN |
compute.googleapis.com |
| Cloud Commerce Consumer Procurement API |
cloudcommerceconsumerprocurement.googleapis.com |
| Cloud Commerce Producer API |
cloudcommerceproducer.googleapis.com |
| Managed Service for Apache Airflow |
composer.googleapis.com |
| Cloud Controls Partner API |
cloudcontrolspartner.googleapis.com |
| Cloud DNS |
dns.googleapis.com |
| Cloud Data Fusion |
datafusion.googleapis.com |
| Cloud Deploy |
clouddeploy.googleapis.com |
| Cloud Deployment Manager |
runtimeconfig.googleapis.com deploymentmanager.googleapis.com |
| Cloud Domains |
domains.googleapis.com |
| Cloud Healthcare API |
healthcare.googleapis.com |
| Cloud Interconnect |
compute.googleapis.com |
| Cloud Intrusion Detection System |
ids.googleapis.com |
| Cloud Key Management Service |
cloudkms.googleapis.com kmsinventory.googleapis.com |
| Cloud Life Sciences |
lifesciences.googleapis.com genomics.googleapis.com |
| Cloud Load Balancing |
compute.googleapis.com |
| Cloud Logging |
logging.googleapis.com |
| Cloud Monitoring |
monitoring.googleapis.com |
| Cloud NAT |
compute.googleapis.com |
| Cloud Natural Language API |
language.googleapis.com |
| Cloud Next Generation Firewall Essentials |
compute.googleapis.com networksecurity.googleapis.com |
| Cloud Next Generation Firewall Standard |
compute.googleapis.com networksecurity.googleapis.com |
| Cloud OS Login API |
oslogin.googleapis.com |
| Cloud-Kontingente |
cloudquotas.googleapis.com |
| Image-Streaming |
containerfilesystem.googleapis.com |
| Cloud Router |
compute.googleapis.com |
| Cloud Run |
run.googleapis.com runapps.googleapis.com |
| Cloud SQL |
cloudsql.googleapis.com sqladmin.googleapis.com |
| Cloud Scheduler |
cloudscheduler.googleapis.com |
| Cloud Service Mesh |
meshconfig.googleapis.com meshca.googleapis.com networksecurity.googleapis.com networkservices.googleapis.com |
| Cloud Source Repositories |
sourcerepo.googleapis.com |
| Cloud Storage |
storage.googleapis.com |
| Cloud Support API |
cloudsupport.googleapis.com |
| Cloud TPU |
tpu.googleapis.com |
| Cloud Tasks |
cloudtasks.googleapis.com |
| Cloud Tool Results API |
toolresults.googleapis.com |
| Cloud Trace |
cloudtrace.googleapis.com |
| Cloud Translation |
translate.googleapis.com |
| Cloud VPN |
compute.googleapis.com |
| Cloud Vision |
vision.googleapis.com |
| Cloud Workstations |
workstations.googleapis.com |
| Cluster Director |
hypercomputecluster.googleapis.com |
| Commerce Agreement Publishing API |
commerceagreementpublishing.googleapis.com |
| Commerce Business Enablement API |
commercebusinessenablement.googleapis.com |
| Commerce Org Governance API |
commerceorggovernance.googleapis.com |
| Commerce Price Management API |
commercepricemanagement.googleapis.com |
| Compliance-Manager |
cloudsecuritycompliance.googleapis.com |
| Compute Engine |
compute.googleapis.com |
| Confidential Computing |
confidentialcomputing.googleapis.com |
| Connect |
gkeconnect.googleapis.com |
| Connect-Gateway |
connectgateway.googleapis.com |
| Contact Center AI Platform API |
contactcenteraiplatform.googleapis.com |
| Container Threat Detection |
containerthreatdetection.googleapis.com |
| Content Warehouse API |
contentwarehouse.googleapis.com |
| Continuous Validation API |
continuousvalidation.googleapis.com |
| Dialogflow CX |
dialogflow.googleapis.com |
| Customer Experience Insights |
contactcenterinsights.googleapis.com |
| Data Catalog |
datacatalog.googleapis.com |
| Data Labeling API |
datalabeling.googleapis.com |
| Data Security Posture Management API |
dspm.googleapis.com |
| Data Studio |
datastudio.googleapis.com |
| Datenbankcenter |
databasecenter.googleapis.com |
| Database Migration Service |
datamigration.googleapis.com |
| Dataflow |
dataflow.googleapis.com |
| Dataform |
dataform.googleapis.com |
| Knowledge Catalog |
dataplex.googleapis.com datalineage.googleapis.com |
| Dataproc Metastore |
metastore.googleapis.com |
| Managed Service for Apache Spark |
dataproc.googleapis.com dataprocrm.googleapis.com |
| Dataproc on GDC |
dataprocgdc.googleapis.com |
| Datastream |
datastream.googleapis.com |
| Developer Connect |
developerconnect.googleapis.com |
| Distributed Cloud Edge Container API |
edgecontainer.googleapis.com |
| Distributed Cloud Edge Network API |
edgenetwork.googleapis.com |
| Google Distributed Cloud |
opsconfigmonitoring.googleapis.com gdcvmmanager.googleapis.com gdchardwaremanagement.googleapis.com |
| Earth Engine API |
earthengine.googleapis.com |
| Enterprise Knowledge Graph |
enterpriseknowledgegraph.googleapis.com |
| Error Reporting |
clouderrorreporting.googleapis.com |
| Wichtige Kontakte |
essentialcontacts.googleapis.com |
| Eventarc |
eventarc.googleapis.com eventarcpublishing.googleapis.com |
| Fault Injection Testing |
faultinjectiontesting.googleapis.com |
| Filestore |
file.googleapis.com |
| Financial Services API |
financialservices.googleapis.com |
| Firebase AI Logic |
firebasevertexai.googleapis.com |
| Firebase App Hosting |
firebaseapphosting.googleapis.com |
| Firebase Data Connect |
firebasedataconnect.googleapis.com |
| Firebase-Sicherheitsregeln |
firebaserules.googleapis.com |
| Firebase Storage API |
firebasestorage.googleapis.com |
| Firestore |
firestore.googleapis.com firestorekeyvisualizer.googleapis.com |
| Firestore im Datastore-Modus (Datastore) |
datastore.googleapis.com |
| GKE Dataplane Management |
gkedataplanemanagement.googleapis.com |
| GKE Enterprise Edge API |
anthosedge.googleapis.com |
| GKE-Flotte (Flotte) |
gkehub.googleapis.com |
| GKE Identity Service |
anthosidentityservice.googleapis.com |
| GKE Multi-Cloud |
gkemulticloud.googleapis.com |
| GKE On-Prem API |
gkeonprem.googleapis.com |
| Gemini for Google Cloud API |
cloudaicompanion.googleapis.com |
| Google Cloud -API |
cloud.googleapis.com |
| Google Cloud Armor |
compute.googleapis.com |
| Google Cloud Migration Center |
migrationcenter.googleapis.com rapidmigrationassessment.googleapis.com |
| Google Cloud NetApp Volumes |
netapp.googleapis.com |
| Google Cloud Observability |
stackdriver.googleapis.com |
| Google Cloud VMware Engine |
vmwareengine.googleapis.com |
| Google Kubernetes Engine |
container.googleapis.com containerfilesystem.googleapis.com configdelivery.googleapis.com |
| Google Security Operations Partner API |
chroniclepartner.googleapis.com |
| Google Security Operations SIEM |
chronicle.googleapis.com chronicleservicemanager.googleapis.com |
| Google Workspace-Add-ons |
gsuiteaddons.googleapis.com |
| Identity and Access Management |
iam.googleapis.com |
| Identity-Aware Proxy |
iap.googleapis.com |
| Immersive Stream |
stream.googleapis.com |
| Infrastructure Manager |
config.googleapis.com |
| Integration Connectors |
connectors.googleapis.com |
| KRM API Hosting |
krmapihosting.googleapis.com |
| License Manager API |
licensemanager.googleapis.com |
| Live Stream API |
livestream.googleapis.com |
| Looker |
looker.googleapis.com |
| BigQuery Engine for Apache Flink |
managedflink.googleapis.com |
| Managed Kafka API |
managedkafka.googleapis.com |
| Google Cloud Managed Lustre |
lustre.googleapis.com |
| Managed Service for Microsoft Active Directory |
managedidentities.googleapis.com |
| Media Asset Manager |
mediaasset.googleapis.com |
| Memorystore for Memcached |
memcache.googleapis.com |
| Memorystore for Redis |
redis.googleapis.com |
| Memorystore for Valkey |
memorystore.googleapis.com |
| Microservices API |
microservices.googleapis.com |
| Migrate to Virtual Machines |
vmmigration.googleapis.com |
| Model Armor |
modelarmor.googleapis.com |
| Network Connectivity Center |
networkconnectivity.googleapis.com |
| Network Intelligence Center |
networkmanagement.googleapis.com |
| Netzwerkdienststufen |
compute.googleapis.com |
| Oracle-Datenbank@Google Cloud |
oracledatabase.googleapis.com |
| Parallelstore |
parallelstore.googleapis.com |
| Parameter Manager |
parametermanager.googleapis.com |
| Persistent Disk |
compute.googleapis.com |
| Personalized Service Health |
servicehealth.googleapis.com |
| Policy Intelligence |
policyanalyzer.googleapis.com policysimulator.googleapis.com policytroubleshooter.googleapis.com |
| Privileged Access Manager |
privilegedaccessmanager.googleapis.com |
| Progressive Rollout |
progressiverollout.googleapis.com |
| Pub/Sub |
pubsub.googleapis.com |
| Public Certificate Authority |
publicca.googleapis.com |
| Recommender |
recommender.googleapis.com |
| Remote Build Execution |
remotebuildexecution.googleapis.com |
| AI Commerce Search API |
retail.googleapis.com |
| Cyber Insurance Hub |
riskmanager.googleapis.com |
| SaaS Service Management API |
saasservicemgmt.googleapis.com |
| SecLM API |
seclm.googleapis.com |
| Secret Manager |
secretmanager.googleapis.com |
| Secure Source Manager |
securesourcemanager.googleapis.com |
| Secured Landing Zone API |
securedlandingzone.googleapis.com |
| Security Command Center |
securitycenter.googleapis.com securitycentermanagement.googleapis.com securityposture.googleapis.com |
| Sensitive Data Protection |
dlp.googleapis.com |
| Service Account Credentials API |
iamcredentials.googleapis.com |
| Service Directory |
servicedirectory.googleapis.com |
| Dienstverwaltung |
servicemanagement.googleapis.com |
| Dienstnetzwerk |
servicenetworking.googleapis.com |
| Service Usage |
serviceusage.googleapis.com |
| Spanner |
spanner.googleapis.com |
| Speaker ID |
speakerid.googleapis.com |
| Speech-to-Text |
speech.googleapis.com |
| Storage Insights |
storageinsights.googleapis.com |
| Storage Transfer Service |
storagebatchoperations.googleapis.com storagetransfer.googleapis.com |
| Talent Solution |
jobs.googleapis.com |
| Text-to-Speech |
texttospeech.googleapis.com |
| Timeseries Insights API |
timeseriesinsights.googleapis.com |
| Traffic Director API |
trafficdirector.googleapis.com |
| Transcoder API |
transcoder.googleapis.com |
| Transfer Appliance |
transferappliance.googleapis.com |
| VM Manager |
osconfig.googleapis.com |
| Agent Platform API |
aiplatform.googleapis.com |
| Gemini Enterprise Agent Platform Workbench |
notebooks.googleapis.com |
| Video Intelligence API |
videointelligence.googleapis.com |
| Video Search API |
cloudvideosearch.googleapis.com |
| Video Stitcher API |
videostitcher.googleapis.com |
| Virtual Private Cloud (VPC) |
compute.googleapis.com |
| Vision AI |
visionai.googleapis.com |
| Visual Inspection AI |
visualinspection.googleapis.com |
| Web Risk |
webrisk.googleapis.com |
| Web Security Scanner |
websecurityscanner.googleapis.com |
| Workflows |
workflows.googleapis.com workflowexecutions.googleapis.com |
| Workload Certificate API |
workloadcertificate.googleapis.com |
| Workload Manager |
workloadmanager.googleapis.com |
| reCAPTCHA Enterprise |
recaptchaenterprise.googleapis.com |
Nicht unterstützte Dienste
Die Einschränkung der Organisationsrichtlinie „TLS-Cipher-Suites beschränken“ ist für die folgenden Dienste nicht zutreffend:
- Apigee (
*.apigee.net,*.apigee.comund*.apigee.io) - App Engine (
*.appspot.com) - Cloud Run-Funktionen (
*.cloudfunctions.net) - Cloud Run (
*.run.app) - Private Service Connect
- Benutzerdefinierte Domains
Wenn Sie TLS-Cipher-Suites für diese Dienste einschränken möchten, verwenden Sie Cloud Load Balancing zusammen mit der SSL-Sicherheitsrichtlinie.
Google Cloud Cipher Suite-Einstellung
Endpunkte für unterstützte Dienste priorisieren Cipher Suites in der folgenden Reihenfolge, von der am meisten bevorzugten bis zur am wenigsten bevorzugten:
- AES-256
- AES-128
- ChaCha20
Während des TLS-Handshakes wählt der Server die am meisten bevorzugte Cipher Suite aus, die sowohl vom Client als auch vom Server unterstützt wird. Für diesen Auswahlprozess sind in der Regel keine spezifischen Konfigurationsänderungen auf der Clientseite erforderlich.
Der TLS-Handshake erfolgt vor der Prüfung der Richtlinie „TLS-Cipher-Suites einschränken“ und ist von der Richtlinienprüfung getrennt. Daher muss die während des TLS-Handshakes ausgehandelte Cipher Suite auch von der Richtlinienprüfung „TLS-Cipher-Suites einschränken“ zugelassen werden. Andernfalls wird die Verbindung abgelehnt. Der Richtlinieninhaber ist dafür verantwortlich, die Einschränkung von TLS-Cipher-Suites und Clientanwendungen so zu konfigurieren, dass die ausgehandelte Cipher Suite zugelassen wird.