本頁面說明如何拒絕使用特定安全性較低的傳輸層安全標準 (TLS) 加密套件提出的要求，防止存取 Google Cloud 資源。
總覽
Google Cloud 支援多個 TLS 加密套件。為符合安全性或法規遵循要求，您可能需要拒絕使用安全性較低 TLS 加密套件的用戶端要求。
這項功能由 gcp.restrictTLSCipherSuites
組織政策限制提供。這項限制可套用至資源階層中的組織、資料夾或專案。
您可以將 gcp.restrictTLSCipherSuites 限制設為許可清單或拒絕清單：
根據組織政策階層評估的行為，「限制 TLS 加密套件」限制會套用至指定的資源節點及其所有子項。舉例來說，如果您只允許機構使用特定 TLS 加密套件，這項設定也會套用至該機構下的所有資料夾和專案 (子項)。
事前準備
如要取得設定、變更或刪除組織政策所需的權限，請要求管理員授予您組織的組織政策管理員 (roles/orgpolicy.policyAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。
設定組織政策
「限制 TLS 加密套件」限制屬於清單限制。您可以從「限制 TLS 加密套件」限制的 allowed_values 或 denied_values 清單中新增及移除加密套件。為避免組織政策過於嚴格，並簡化政策管理，請使用值組。值組是 Google 精選的建議 TLS 加密套件。
控制台
在 Google Cloud 控制台開啟「Organization policies」(組織政策) 頁面。
選取頁面頂端的專案挑選器。
在專案挑選器中，選取要設定組織政策的資源。
在「Organization policies」(組織政策) 頁面的清單中，選取「Restrict TLS cipher suites」(限制 TLS 加密套件) 限制。
如要更新這項資源的組織政策，請按一下「Manage policy」(管理政策)。
在「Edit」(編輯) 頁面選取 [Customize] (自訂)。
在「Policy enforcement」(強制執行) 下方，選取強制執行選項：
如要合併並評估組織政策，請選取「Merge with parent」(與上層合併)。如要進一步瞭解繼承和資源階層，請參閱「瞭解階層評估」。
如要覆寫從上層資源繼承的政策，請選取「Replace」(取代)。
按一下「Add rule」(新增規則)。
在「Policy values」(政策值) 底下，選取「Custom」(自訂)。
在「Policy type」(政策類型) 下方，選取「Allow」(允許) 建立允許的加密套件清單，或選取「Deny」(拒絕) 建立拒絕的加密套件清單。
在「Custom values」(自訂值) 下方，輸入
in:前置字元和值組字串，然後按下 Enter 鍵。例如
in:NIST-800-52-recommended-ciphers。按一下「新增值」，即可輸入多個值組字串。您也可以使用
is:前置字串輸入特定加密套件字串。如需支援的值清單，請參閱「支援的加密套件」。
如要強制執行政策，請按一下「Set policy」(設定政策)。
gcloud
如要建立強制執行「限制 TLS 加密套件」限制的組織政策，請建立參照該限制的政策 YAML 檔案：
constraint: constraints/gcp.restrictTLSCipherSuites
listPolicy:
allowedValues:
- in:CNSA-2.0-recommended-ciphers
- is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
如要強制執行包含限制的組織政策，請執行下列指令：
gcloud resource-manager org-policies set-policy \ --RESOURCE_TYPE RESOURCE_ID \ POLICY_PATH
更改下列內容：
將
RESOURCE_TYPE替換成organization、folder或project。RESOURCE_ID替換為組織 ID、資料夾 ID、專案 ID 或專案編號。將
POLICY_PATH替換為含有組織政策的 YAML 檔案完整路徑。
系統會傳回回應，其中包含新組織政策的結果：
constraint: constraints/gcp.restrictTLSCipherSuites etag: COS9qr0GELii6o0C listPolicy: allowedValues: - in:CNSA-2.0-recommended-ciphers - is:TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA updateTime: '2025-02-11T00:50:44.565875Z'
值組搭配
值組是 Google 彙整的加密套件集合，可讓您更輕鬆地定義偏好或建議的 TLS 加密套件。值組包含多個加密套件，Google 會不時擴充。您不需要為了因應新的加密套件而變更組織政策。
如要在組織政策使用值組，請用「in:」字串做為值組的前置字元。如要進一步瞭解如何使用值前置字元，請參閱「使用限制」。系統會在呼叫設定組織政策時，驗證值組名稱。如果使用無效的群組名稱，政策設定將會失敗。
下表包含目前可用群組的清單：
| 群組 | 說明 | 直接成員 |
|---|---|---|
| CNSA-2.0-recommended-ciphers | Google Cloud 支援的 CNSA 2.0 建議加密套件：in:CNSA-2.0-recommended-ciphers |
值：
|
| NIST-800-52-recommended-ciphers | Google Cloud 支援的 NIST SP 800-52 建議加密：in:NIST-800-52-recommended-ciphers |
值：
|
支援的加密套件
以下是 Google Cloud支援的加密套件清單。
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_AES_128_GCM_SHA256 (TLS 1.3 cipher suite)
TLS_AES_256_GCM_SHA384 (TLS 1.3 cipher suite)
TLS_CHACHA20_POLY1305_SHA256 (TLS 1.3 cipher suite)
錯誤訊息
支援「限制 TLS 加密套件」限制的服務會拒絕違反限制的要求。
錯誤訊息示例
錯誤訊息的格式類似下列範例：
Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites constraint for 'projects/PROJECT_NUMBER'. Access to service 'SERVICE_NAME.googleapis.com' attempted with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X` To access this resource, please use an allowed TLS Cipher Suite.
這項輸出內容包含下列值：
PROJECT_NUMBER：託管先前指令中所參照資源的專案編號。SERVICE_NAME：受「限制 TLS 加密套件」政策封鎖的範圍內服務名稱。TLS_Cipher_Suite_X：要求中使用的 TLS 加密套件。
Cloud 稽核記錄範例
系統也會產生稽核記錄項目，以便進一步監控、快訊或偵錯。稽核記錄項目大致如下：
{ logName: "projects/my-project-number/logs/cloudaudit.googleapis.com%2Fpolicy" protoPayload: { @type: "type.googleapis.com/google.cloud.audit.AuditLog" status: { code: 7 message: "Request is disallowed by organization's TLS Cipher Suite Restriction Org Policy for 'projects/my-project-number'. Attempting to use service 'bigquery.googleapis.com' with a disallowed TLS Cipher Suite: 'TLS_Cipher_Suite_X`." } serviceName: "bigquery.googleapis.com" methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll" resourceName: "projects/my-project-number" authenticationInfo: { principalEmail: "user_or_service_account@example.com" } } requestMetadata: { callerIp: "123.123.123.123" } policyViolationInfo: { orgPolicyViolationInfo: { violationInfo: [ { constraint: "constraints/gcp.restrictTlsCipherSuites" errorMessage: "TLS Cipher Suite Restriction Org Policy is violated" policyType: "LIST_CONSTRAINT" } ] } } resource: { type: "audited_resource" labels: { project_id: "my-project-number" method: "google.cloud.bigquery.v2.TableDataService.InsertAll" service: "bigquery.googleapis.com" } } severity: "ERROR" timestamp: "2023-10-27T19:27:24.633477924Z" receiveTimestamp: "2023-10-27T19:27:25.071941737Z" insertId "42" }
測試政策
您可以針對任何範圍內服務，測試 TLS 加密限制政策限制。下列 curl 指令範例會驗證 Cloud Key Management Service 金鑰環的「限制 TLS 加密套件」政策。
curl --ciphers TLS_CIPHER_SUITE --tls-max 1.2 -H "Authorization: Bearer $(gcloud auth print-access-token)" \ "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings" --verbose
請替換下列變數：
TLS_CIPHER_SUITE：OpenSSL 命名慣例中的 TLS 加密套件名稱，例如ECDHE-ECDSA-AES128-SHA是TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA的 OpenSSL 名稱。PROJECT_ID：金鑰環所在專案的名稱
以下 curl 要求範例顯示 PROJECT_ID 設為 my-project-id，TLS_CIPHER_SUITE 設為 ECDHE-ECDSA-AES128-SHA：
curl --ciphers ECDHE-ECDSA-AES128-SHA --tls-max 1.2 \ GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \ "https://cloudkms.googleapis.com/v1/projects/my-project-id/locations/global/keyRings" --verbose
如果「my-project-id」的組織政策設為拒絕 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA，則在範例指令中，任何嘗試使用該政策限制專案中的密碼存取資源的行為都會失敗。系統會傳回類似以下範例的錯誤訊息，說明失敗原因。
Request is disallowed by organization's constraints/gcp.restrictTLSCipherSuites constraint for 'projects/my-project-id'. Access to service cloudkms.googleapis.com attempted with a disallowed TLS Cipher Suite: `TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA`. To access this resource, please use an allowed TLS Cipher Suite.
在模擬測試模式下建立組織政策
在模擬測試模式下，組織政策會將違反政策的行為記錄在稽核記錄中，但不會拒絕這些行為。您可以使用 TLS 加密套件限制，在模擬測試模式中建立組織政策，監控該政策對組織的影響，再強制執行正式政策。詳情請參閱「在模擬測試模式中建立組織政策」。
支援的服務
下列服務支援「限制 TLS 加密套件」功能。這項限制適用於 API 端點的所有變化版本，包括全域、位置和區域端點。詳情請參閱「API 端點類型」頁面。
| 產品 | API 端點 |
|---|---|
| AI 平台 |
ml.googleapis.com |
| API Gateway |
apigateway.googleapis.com |
| API 金鑰 |
apikeys.googleapis.com |
| 存取 Context Intelligence |
accesscontextintelligence.googleapis.com |
| Access Context Manager |
accesscontextmanager.googleapis.com |
| Agent Gateway |
networkservices.googleapis.com |
| Agent Registry |
agentregistry.googleapis.com |
| Agent Identity API |
agentidentity.googleapis.com |
| Agent Identity Credentials API |
agentidentitycredentials.googleapis.com |
| AlloyDB for PostgreSQL |
alloydb.googleapis.com |
| Apigee API 中心 |
apihub.googleapis.com |
| Apigee API Management API |
apim.googleapis.com |
| Apigee Connect API |
apigeeconnect.googleapis.com |
| Apigee portal API |
apigeeportal.googleapis.com |
| Apigee Registry API |
apigeeregistry.googleapis.com |
| Apigee |
apigee.googleapis.com |
| App Config Manager API |
appconfigmanager.googleapis.com |
| App Engine |
appengine.googleapis.com |
| App Hub |
apphub.googleapis.com |
| Application Design Center |
designcenter.googleapis.com |
| Application Integration |
integrations.googleapis.com |
| Artifact Analysis |
containeranalysis.googleapis.com ondemandscanning.googleapis.com |
| Artifact Registry |
artifactregistry.googleapis.com |
| Assured Open Source Software |
assuredoss.googleapis.com |
| Assured Workloads |
assuredworkloads.googleapis.com |
| Audit Manager |
auditmanager.googleapis.com |
| Authorization Toolkit API |
authztoolkit.googleapis.com |
| 備份和災難復原服務 |
backupdr.googleapis.com |
| GKE 備份 |
gkebackup.googleapis.com |
| Bare Metal 解決方案 |
baremetalsolution.googleapis.com |
| Batch |
batch.googleapis.com |
| Chrome Enterprise 進階版 |
beyondcorp.googleapis.com |
| BigLake |
biglake.googleapis.com |
| BigQuery BI Engine |
bigquerybiengine.googleapis.com |
| BigQuery 連線 |
bigqueryconnection.googleapis.com |
| BigQuery 資料政策 |
bigquerydatapolicy.googleapis.com |
| BigQuery 資料移轉 |
bigquerydatatransfer.googleapis.com |
| BigQuery 遷移 |
bigquerymigration.googleapis.com |
| BigQuery 預留項目 |
bigqueryreservation.googleapis.com |
| BigQuery Saved Query API |
bigquery-sq.googleapis.com |
| BigQuery 儲存空間 |
bigquerystorage.googleapis.com |
| BigQuery |
bigquery.googleapis.com |
| BigQuery sharing |
analyticshub.googleapis.com |
| Bigtable |
bigtable.googleapis.com bigtableadmin.googleapis.com |
| 二進位授權 |
binaryauthorization.googleapis.com |
| 區塊鏈分析 |
blockchain.googleapis.com |
| Blockchain Node Engine |
blockchainnodeengine.googleapis.com |
| Blockchain Validator Manager |
blockchainvalidatormanager.googleapis.com |
| Capacity Planner |
capacityplanner.googleapis.com |
| 憑證授權單位服務 |
privateca.googleapis.com |
| Certificate Manager |
certificatemanager.googleapis.com |
| Cloud Asset Inventory |
cloudasset.googleapis.com |
| Cloud Billing |
cloudbilling.googleapis.com |
| Cloud Build |
cloudbuild.googleapis.com |
| Cloud CDN |
compute.googleapis.com |
| Cloud Commerce Consumer Procurement API |
cloudcommerceconsumerprocurement.googleapis.com |
| Cloud Commerce Producer API |
cloudcommerceproducer.googleapis.com |
| Managed Service for Apache Airflow |
composer.googleapis.com |
| Cloud Controls Partner API |
cloudcontrolspartner.googleapis.com |
| Cloud DNS |
dns.googleapis.com |
| Cloud Data Fusion |
datafusion.googleapis.com |
| Cloud Deploy |
clouddeploy.googleapis.com |
| Cloud Deployment Manager |
runtimeconfig.googleapis.com deploymentmanager.googleapis.com |
| Cloud Domains |
domains.googleapis.com |
| Cloud Healthcare API |
healthcare.googleapis.com |
| Cloud Interconnect |
compute.googleapis.com |
| 雲端入侵偵測系統 |
ids.googleapis.com |
| Cloud Key Management Service |
cloudkms.googleapis.com kmsinventory.googleapis.com |
| Cloud Life Sciences |
lifesciences.googleapis.com genomics.googleapis.com |
| Cloud Load Balancing |
compute.googleapis.com |
| Cloud Logging |
logging.googleapis.com |
| Cloud Monitoring |
monitoring.googleapis.com |
| Cloud NAT |
compute.googleapis.com |
| Cloud Natural Language API |
language.googleapis.com |
| Cloud Next Generation Firewall Essentials |
compute.googleapis.com networksecurity.googleapis.com |
| Cloud Next Generation Firewall Standard |
compute.googleapis.com networksecurity.googleapis.com |
| Cloud OS Login API |
oslogin.googleapis.com |
| Cloud Quotas |
cloudquotas.googleapis.com |
| 映像檔串流 |
containerfilesystem.googleapis.com |
| Cloud Router |
compute.googleapis.com |
| Cloud Run |
run.googleapis.com runapps.googleapis.com |
| Cloud SQL |
cloudsql.googleapis.com sqladmin.googleapis.com |
| Cloud Scheduler |
cloudscheduler.googleapis.com |
| Cloud Service Mesh |
meshconfig.googleapis.com meshca.googleapis.com networksecurity.googleapis.com networkservices.googleapis.com |
| Cloud Source Repositories |
sourcerepo.googleapis.com |
| Cloud Storage |
storage.googleapis.com |
| Cloud Support API |
cloudsupport.googleapis.com |
| Cloud TPU |
tpu.googleapis.com |
| Cloud Tasks |
cloudtasks.googleapis.com |
| Cloud Tool Results API |
toolresults.googleapis.com |
| Cloud Trace |
cloudtrace.googleapis.com |
| Cloud Translation |
translate.googleapis.com |
| Cloud VPN |
compute.googleapis.com |
| Cloud Vision |
vision.googleapis.com |
| Cloud Workstations |
workstations.googleapis.com |
| Cluster Director |
hypercomputecluster.googleapis.com |
| Commerce Agreement Publishing API |
commerceagreementpublishing.googleapis.com |
| Commerce Business Enablement API |
commercebusinessenablement.googleapis.com |
| Commerce Org Governance API |
commerceorggovernance.googleapis.com |
| Commerce Price Management API |
commercepricemanagement.googleapis.com |
| Compliance Manager |
cloudsecuritycompliance.googleapis.com |
| Compute Engine |
compute.googleapis.com |
| 機密運算 |
confidentialcomputing.googleapis.com |
| 連結 |
gkeconnect.googleapis.com |
| 連結閘道 |
connectgateway.googleapis.com |
| Contact Center AI Platform API |
contactcenteraiplatform.googleapis.com |
| Container Threat Detection |
containerthreatdetection.googleapis.com |
| Content Warehouse API |
contentwarehouse.googleapis.com |
| Continuous Validation API |
continuousvalidation.googleapis.com |
| Dialogflow CX |
dialogflow.googleapis.com |
| Customer Experience Insights |
contactcenterinsights.googleapis.com |
| Data Catalog |
datacatalog.googleapis.com |
| Data Labeling API |
datalabeling.googleapis.com |
| Data Security Posture Management API |
dspm.googleapis.com |
| 數據分析 |
datastudio.googleapis.com |
| Database Center |
databasecenter.googleapis.com |
| 資料庫遷移服務 |
datamigration.googleapis.com |
| Dataflow |
dataflow.googleapis.com |
| Dataform |
dataform.googleapis.com |
| Knowledge Catalog |
dataplex.googleapis.com datalineage.googleapis.com |
| Dataproc Metastore |
metastore.googleapis.com |
| Managed Service for Apache Spark |
dataproc.googleapis.com dataprocrm.googleapis.com |
| Dataproc on GDC |
dataprocgdc.googleapis.com |
| Datastream |
datastream.googleapis.com |
| Developer Connect |
developerconnect.googleapis.com |
| Distributed Cloud Edge Container API |
edgecontainer.googleapis.com |
| Distributed Cloud Edge Network API |
edgenetwork.googleapis.com |
| Google Distributed Cloud |
opsconfigmonitoring.googleapis.com gdcvmmanager.googleapis.com gdchardwaremanagement.googleapis.com |
| Earth Engine API |
earthengine.googleapis.com |
| Enterprise Knowledge Graph |
enterpriseknowledgegraph.googleapis.com |
| Error Reporting |
clouderrorreporting.googleapis.com |
| 重要聯絡人 |
essentialcontacts.googleapis.com |
| Eventarc |
eventarc.googleapis.com eventarcpublishing.googleapis.com |
| Fault Injection Testing |
faultinjectiontesting.googleapis.com |
| Filestore |
file.googleapis.com |
| Financial Services API |
financialservices.googleapis.com |
| Firebase AI Logic |
firebasevertexai.googleapis.com |
| Firebase App Hosting |
firebaseapphosting.googleapis.com |
| Firebase Data Connect |
firebasedataconnect.googleapis.com |
| Firebase 安全性規則 |
firebaserules.googleapis.com |
| Firebase Storage API |
firebasestorage.googleapis.com |
| Firestore |
firestore.googleapis.com firestorekeyvisualizer.googleapis.com |
| Firestore (Datastore 模式) |
datastore.googleapis.com |
| GKE Dataplane Management |
gkedataplanemanagement.googleapis.com |
| GKE Enterprise Edge API |
anthosedge.googleapis.com |
| GKE 機群 (機群) |
gkehub.googleapis.com |
| GKE 身分認證服務 |
anthosidentityservice.googleapis.com |
| GKE Multi-Cloud |
gkemulticloud.googleapis.com |
| GKE On-Prem API |
gkeonprem.googleapis.com |
| Gemini for Google Cloud API |
cloudaicompanion.googleapis.com |
| Google Cloud API |
cloud.googleapis.com |
| Google Cloud Armor |
compute.googleapis.com |
| Google Cloud Migration Center |
migrationcenter.googleapis.com rapidmigrationassessment.googleapis.com |
| Google Cloud NetApp Volumes |
netapp.googleapis.com |
| Google Cloud Observability |
stackdriver.googleapis.com |
| Google Cloud VMware Engine |
vmwareengine.googleapis.com |
| Google Kubernetes Engine |
container.googleapis.com containerfilesystem.googleapis.com configdelivery.googleapis.com |
| Google Security Operations Partner API |
chroniclepartner.googleapis.com |
| Google Security Operations SIEM |
chronicle.googleapis.com chronicleservicemanager.googleapis.com |
| Google Workspace 外掛程式 |
gsuiteaddons.googleapis.com |
| Identity and Access Management |
iam.googleapis.com |
| Identity-Aware Proxy |
iap.googleapis.com |
| Immersive Stream |
stream.googleapis.com |
| Infrastructure Manager |
config.googleapis.com |
| Integration Connectors |
connectors.googleapis.com |
| KRM API Hosting |
krmapihosting.googleapis.com |
| License Manager API |
licensemanager.googleapis.com |
| Live Stream API |
livestream.googleapis.com |
| Looker |
looker.googleapis.com |
| BigQuery Engine for Apache Flink |
managedflink.googleapis.com |
| Managed Kafka API |
managedkafka.googleapis.com |
| Google Cloud Managed Lustre |
lustre.googleapis.com |
| Managed Service for Microsoft Active Directory |
managedidentities.googleapis.com |
| 媒體資產管理工具 |
mediaasset.googleapis.com |
| Memorystore for Memcached |
memcache.googleapis.com |
| Memorystore for Redis |
redis.googleapis.com |
| Memorystore for Valkey |
memorystore.googleapis.com |
| Microservices API |
microservices.googleapis.com |
| Migrate to Virtual Machines |
vmmigration.googleapis.com |
| Model Armor |
modelarmor.googleapis.com |
| Network Connectivity Center |
networkconnectivity.googleapis.com |
| Network Intelligence Center |
networkmanagement.googleapis.com |
| 網路服務級別 |
compute.googleapis.com |
| Oracle Database@Google Cloud |
oracledatabase.googleapis.com |
| Parallelstore |
parallelstore.googleapis.com |
| Parameter Manager |
parametermanager.googleapis.com |
| Persistent Disk |
compute.googleapis.com |
| Personalized Service Health |
servicehealth.googleapis.com |
| Policy Intelligence |
policyanalyzer.googleapis.com policysimulator.googleapis.com policytroubleshooter.googleapis.com |
| Privileged Access Manager |
privilegedaccessmanager.googleapis.com |
| Progressive Rollout |
progressiverollout.googleapis.com |
| Pub/Sub |
pubsub.googleapis.com |
| Public Certificate Authority |
publicca.googleapis.com |
| 建議工具 |
recommender.googleapis.com |
| Remote Build Execution |
remotebuildexecution.googleapis.com |
| AI Commerce Search API |
retail.googleapis.com |
| Cyber Insurance Hub |
riskmanager.googleapis.com |
| SaaS Service Management API |
saasservicemgmt.googleapis.com |
| SecLM API |
seclm.googleapis.com |
| Secret Manager |
secretmanager.googleapis.com |
| Secure Source Manager |
securesourcemanager.googleapis.com |
| Secured Landing Zone API |
securedlandingzone.googleapis.com |
| Security Command Center |
securitycenter.googleapis.com securitycentermanagement.googleapis.com securityposture.googleapis.com |
| Sensitive Data Protection |
dlp.googleapis.com |
| Service Account Credentials API |
iamcredentials.googleapis.com |
| Service Directory |
servicedirectory.googleapis.com |
| Service Management |
servicemanagement.googleapis.com |
| Service Networking |
servicenetworking.googleapis.com |
| Service Usage |
serviceusage.googleapis.com |
| Spanner |
spanner.googleapis.com |
| Speaker ID |
speakerid.googleapis.com |
| Speech-to-Text |
speech.googleapis.com |
| 儲存空間分析 |
storageinsights.googleapis.com |
| Storage 移轉服務 |
storagebatchoperations.googleapis.com storagetransfer.googleapis.com |
| Talent Solution |
jobs.googleapis.com |
| Text-to-Speech |
texttospeech.googleapis.com |
| Timeseries Insights API |
timeseriesinsights.googleapis.com |
| Traffic Director API |
trafficdirector.googleapis.com |
| Transcoder API |
transcoder.googleapis.com |
| Transfer Appliance |
transferappliance.googleapis.com |
| VM Manager |
osconfig.googleapis.com |
| Agent Platform API |
aiplatform.googleapis.com |
| Gemini Enterprise Agent Platform Workbench |
notebooks.googleapis.com |
| Video Intelligence API |
videointelligence.googleapis.com |
| Video Search API |
cloudvideosearch.googleapis.com |
| Video Stitcher API |
videostitcher.googleapis.com |
| 虛擬私有雲 (VPC) |
compute.googleapis.com |
| Vision AI |
visionai.googleapis.com |
| Visual Inspection AI |
visualinspection.googleapis.com |
| Web Risk |
webrisk.googleapis.com |
| Web Security Scanner |
websecurityscanner.googleapis.com |
| Workflows |
workflows.googleapis.com workflowexecutions.googleapis.com |
| Workload Certificate API |
workloadcertificate.googleapis.com |
| Workload Manager |
workloadmanager.googleapis.com |
| reCAPTCHA Enterprise |
recaptchaenterprise.googleapis.com |
不支援的服務
「限制 TLS 加密套件」組織政策限制不適用於下列服務：
- Apigee (
*.apigee.net、*.apigee.com和*.apigee.io) - App Engine (
*.appspot.com) - Cloud Run functions (
*.cloudfunctions.net)、 - Cloud Run (
*.run.app) - Private Service Connect
- 自訂網域
如要限制這些服務的 TLS 加密套件，請使用 Cloud Load Balancing 和 SSL 安全性政策。
Google Cloud 加密套件偏好設定
支援服務的端點會優先使用下列加密套件，偏好程度由高至低如下：
- AES-256
- AES-128
- ChaCha20
在 TLS 握手期間，伺服器會選取用戶端和伺服器都支援的最優先加密套件。這項選取程序通常不需要在用戶端進行任何特定設定變更。
TLS 握手會在「限制 TLS 加密套件」政策檢查之前進行，且與政策檢查分開。因此，在 TLS 握手期間協商的加密套件，也必須通過「限制 TLS 加密套件」政策檢查。否則連線會遭拒。政策擁有者必須負責設定「限制 TLS 加密套件」和用戶端應用程式，允許經協商的加密套件。