SSL-Richtlinien verwenden

SSL-Richtlinien (Secure Sockets Layer) geben eine Mindest-TLS-Version und eine Reihe von TLS-Funktionen an, die Cloud Load Balancing beim Aushandeln von SSL mit Clients verwendet. In diesem Dokument bezieht sich der Begriff SSL sowohl auf das SSL- als auch auf das TLS-Protokoll.

SSL-Richtlinien werden von den folgenden Load-Balancern unterstützt:

  • Globale SSL-Richtlinien
    • Globaler externer Application Load Balancer
    • Klassischer Application Load Balancer
    • Globaler externer Proxy-Network Load Balancer (mit einem Ziel-SSL-Proxy)
    • Regionsübergreifender interner Application Load Balancer
  • Regionale SSL-Richtlinien
    • Regionaler externer Application Load Balancer
    • Regionaler interner Application Load Balancer

Weitere Informationen zur Funktionsweise von SSL-Richtlinien finden Sie unter SSL-Richtlinien für SSL- und TLS-Protokolle.

Sie können SSL-Richtlinien mithilfe der Google Cloud Console oder der Google Cloud CLI erstellen und verwalten, wenn Sie einen HTTPS- oder SSL-Load-Balancer erstellen, oder nach dem Erstellen des Load-Balancers.

SSL-Richtlinien erstellen

Sie können SSL-Richtlinien mit vordefinierten Profilen oder mit einem benutzerdefinierten Profil erstellen.

SSL-Richtlinie mit einem vordefinierten Profil erstellen

Console

Globale SSL-Richtlinie

So erstellen Sie eine globale SSL-Richtlinie mit einem vordefinierten Profil:

  1. Rufen Sie in der Google Cloud -Console die Seite SSL-Richtlinien auf.

    Zu „SSL-Richtlinien“

  2. Klicken Sie auf Richtlinie erstellen.

  3. Klicken Sie unter Globale SSL-Richtlinie auf den Button Erstellen daneben. Die Seite Richtlinie erstellen wird angezeigt.

  4. Geben Sie einen Namen ein.

  5. Wählen Sie einen Wert für Mindest-TLS-Version aus.

  6. Wählen Sie für Profil die Option Kompatibel, Modern, Eingeschränkt oder FIPS_202205 aus.

    • Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
    • Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

    Anschließend werden die Bereiche Aktivierte Features und Deaktivierte Features für das Profil angezeigt.

  7. Wählen Sie für Post-Quanten-Schlüsselaustausch die Option Standard, Aktiviert oder Aufgeschoben aus. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

  8. Wenn Sie die SSL-Richtlinie an einen Load-Balancer anhängen möchten, klicken Sie auf Auf Ziele anwenden und wählen eine Weiterleitungsregel aus. Fügen Sie bei Bedarf weitere Ziele hinzu.

  9. Klicken Sie auf Erstellen.

Regionale SSL-Richtlinie

So erstellen Sie eine regionale SSL-Richtlinie mit einem vordefinierten Profil:

  1. Rufen Sie in der Google Cloud -Console die Seite SSL-Richtlinien auf.

    Zu „SSL-Richtlinien“

  2. Klicken Sie auf Richtlinie erstellen.

  3. Klicken Sie unter Regionale SSL-Richtlinie auf den Button Erstellen daneben. Die Seite Richtlinie erstellen wird angezeigt.

  4. Geben Sie einen Namen ein.

  5. Wählen Sie bei Region eine Region aus.

  6. Wählen Sie einen Wert für Mindest-TLS-Version aus.

  7. Wählen Sie für Profil die Option Kompatibel, Modern, Eingeschränkt oder FIPS_202205 aus.

    • Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
    • Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

    Anschließend werden die Bereiche Aktivierte Features und Deaktivierte Features für das Profil angezeigt.

  8. Wählen Sie für Post-Quanten-Schlüsselaustausch die Option Standard, Aktiviert oder Aufgeschoben aus. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

  9. Wenn Sie die SSL-Richtlinie an ein Lastenausgleichsmodul anhängen möchten, klicken Sie auf Auf Ziele anwenden und wählen eine Weiterleitungsregel aus. Fügen Sie bei Bedarf weitere Ziele hinzu.

  10. Klicken Sie auf Erstellen.

gcloud

Globale SSL-Richtlinie

Dies ist die allgemeine Syntax zum Erstellen einer globalen SSL-Richtlinie mit einem vordefinierten Profil.

  • Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
  • Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile {COMPATIBLE | MODERN | RESTRICTED | FIPS_202205} \
    --min-tls-version {1.0 | 1.1 | 1.2 | 1.3} \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
  • MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

Regionale SSL-Richtlinie

Dies ist die allgemeine Syntax zum Erstellen einer regionalen SSL-Richtlinie mit einem vordefinierten Profil.

  • Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
  • Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile {COMPATIBLE | MODERN | RESTRICTED | FIPS_202205} \
    --min-tls-version {1.0 | 1.1 | 1.2 | 1.3} \
    --region REGION \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
  • REGION: die Region für die SSL-Richtlinie.
  • MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

SSL-Richtlinie mit einem benutzerdefinierten Profil erstellen

Console

Globale SSL-Richtlinie

So erstellen Sie eine globale SSL-Richtlinie mit einem benutzerdefinierten Profil:

  1. Rufen Sie in der Google Cloud -Console die Seite SSL-Richtlinien auf.

    Zu „SSL-Richtlinien“

  2. Klicken Sie auf Richtlinie erstellen.

  3. Klicken Sie unter Globale SSL-Richtlinie auf den Button Erstellen daneben. Die Seite Richtlinie erstellen wird angezeigt.

  4. Geben Sie einen Namen ein.

  5. Wählen Sie einen Wert für Mindest-TLS-Version aus.

  6. Wählen Sie für Profil die Option Benutzerdefiniert aus. Alle Funktionen werden als Deaktivierte Funktionen angezeigt.

  7. Wählen Sie für Post-Quanten-Schlüsselaustausch die Option Standard, Aktiviert oder Aufgeschoben aus. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

  8. Wählen Sie in der Liste Funktionen alle Chiffresammlungen aus, die Sie aktivieren möchten. Die aktivierten Chiffresammlungen werden anschließend unter Aktivierte Features aufgeführt. Weitere Informationen zu den verschiedenen Cipher Suites, die Sie bei Verwendung des CUSTOM-Profils auswählen können, finden Sie unter Cipher Suites für TLS 1.2 und früher.

  9. Wenn Sie die SSL-Richtlinie an einen Load-Balancer anhängen möchten, klicken Sie auf Auf Ziele anwenden und wählen eine Weiterleitungsregel aus. Fügen Sie bei Bedarf weitere Ziele hinzu.

  10. Klicken Sie auf Erstellen.

Regionale SSL-Richtlinie

So erstellen Sie eine regionale SSL-Richtlinie mit einem benutzerdefinierten Profil:

  1. Rufen Sie in der Google Cloud -Console die Seite SSL-Richtlinien auf.

    Zu „SSL-Richtlinien“

  2. Klicken Sie auf Richtlinie erstellen.

  3. Klicken Sie unter Regionale SSL-Richtlinie auf den Button Erstellen daneben. Die Seite Richtlinie erstellen wird angezeigt.

  4. Geben Sie einen Namen ein.

  5. Wählen Sie bei Region eine Region aus.

  6. Wählen Sie einen Wert für Mindest-TLS-Version aus.

  7. Wählen Sie für Profil die Option Benutzerdefiniert aus. Alle Funktionen werden als Deaktivierte Funktionen angezeigt.

  8. Wählen Sie für Post-Quanten-Schlüsselaustausch die Option Standard, Aktiviert oder Aufgeschoben aus. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

  9. Wählen Sie in der Liste Funktionen alle Chiffresammlungen aus, die Sie aktivieren möchten. Die aktivierten Chiffresammlungen werden anschließend unter Aktivierte Funktionen aufgeführt. Weitere Informationen zu den verschiedenen Cipher Suites, die Sie bei Verwendung des CUSTOM-Profils auswählen können, finden Sie unter Cipher Suites für TLS 1.2 und früher.

  10. Wenn Sie die SSL-Richtlinie an einen Load-Balancer anhängen möchten, klicken Sie auf Auf Ziele anwenden und wählen eine Weiterleitungsregel aus. Fügen Sie bei Bedarf weitere Ziele hinzu.

  11. Klicken Sie auf Erstellen.

gcloud

Wenn Sie eine SSL-Richtlinie mit dem Profil CUSTOM erstellen, werden nur die Funktionen unterstützt, die Sie im Befehl create angeben. Andere Funktionen werden nicht unterstützt.

Globale SSL-Richtlinie

Dies ist die allgemeine Syntax zum Erstellen einer globalen SSL-Richtlinie mit einem benutzerdefinierten Profil:

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile CUSTOM \
    --min-tls-version {1.0 | 1.1 | 1.2} \
    --custom-features SSL_FEATURE_1[,SSL_FEATURE_2,SSL_FEATURE_3] \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
  • SSL_FEATURE_1 | 2 | 3: Die verschiedenen Chiffrierverfahren, die Sie bei Verwendung des CUSTOM-Profils auswählen können. Weitere Informationen finden Sie unter Cipher Suites für TLS 1.2 und früher.
  • MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

Regionale SSL-Richtlinie

Dies ist die allgemeine Syntax zum Erstellen einer regionalen SSL-Richtlinie mit einem benutzerdefinierten Profil:

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile CUSTOM \
    --min-tls-version {1.0 | 1.1 | 1.2} \
    --custom-features SSL_FEATURE_1[,SSL_FEATURE_2,SSL_FEATURE_3] \
    --region REGION \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
  • SSL_FEATURE_1 | 2 | 3: Die verschiedenen Chiffrierverfahren, die Sie bei Verwendung des CUSTOM-Profils auswählen können. Weitere Informationen finden Sie unter Cipher Suites für TLS 1.2 und früher.
  • REGION: die Region, in der die SSL-Richtlinie angewendet werden soll
  • MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

SSL-Richtlinien auflisten

Console

Rufen Sie in der Google Cloud -Console die Seite SSL-Richtlinien auf.

Zu „SSL-Richtlinien“

Sie können eine Liste aller verfügbaren SSL-Richtlinien aufrufen. Das Feld Bereich gibt an, ob die SSL-Richtlinie global oder regional ist.

gcloud

Sowohl globale als auch regionale SSL-Richtlinien auflisten:

gcloud compute ssl-policies list

Nur globale SSL-Richtlinien auflisten:

gcloud compute ssl-policies list --global

Nur regionale SSL-Richtlinien auflisten:

gcloud compute ssl-policies list --regions REGION

Ersetzen Sie REGION durch die Region, in der die SSL-Richtlinie angewendet werden soll.

In einer SSL-Richtlinie verfügbare Features auflisten

Console

  1. Rufen Sie in der Google Cloud -Console die Seite SSL-Richtlinien auf.

    Zu „SSL-Richtlinien“

  2. Klicken Sie auf den Namen der Richtlinie, deren Features Sie aufrufen möchten. Die aktivierten und deaktivierten Chiffresammlungen werden aufgeführt.

gcloud

So listen Sie die in globalen SSL-Richtlinien verfügbaren Features auf:

gcloud compute ssl-policies list-available-features

So listen Sie die in regionalen SSL-Richtlinien verfügbaren Features auf:

gcloud compute ssl-policies list-available-features \
    --region REGION

Ersetzen Sie REGION durch die Region der SSL-Richtlinie, deren Funktionen Sie auflisten möchten.

SSL-Richtlinien ändern

Console

So ändern Sie eine globale oder eine regionale SSL-Richtlinie:

  1. Rufen Sie in der Google Cloud -Console die Seite SSL-Richtlinien auf.

    Zu „SSL-Richtlinien“

  2. Klicken Sie auf den Namen der Richtlinie, die Sie ändern möchten.

  3. Klicken Sie auf Bearbeiten.

  4. Nehmen Sie die gewünschten Änderungen vor.

  5. Klicken Sie auf Speichern.

gcloud

Zum Ändern einer vorhandenen SSL-Richtlinie müssen Sie eines oder alle der Flags übergeben, die den zu aktualisierenden Feldern entsprechen. Nicht angegebene Felder werden nicht aktualisiert.

Wenn Sie die Funktionen aktualisieren, werden zuvor aktivierte Funktionen gelöscht und durch die neu angegebenen Funktionen ersetzt.

Globale SSL-Richtlinien

  • Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
  • Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

gcloud compute ssl-policies update SSL_POLICY_NAME \
    --profile {COMPATIBLE | MODERN | RESTRICTED | CUSTOM | FIPS_202205} \
    --min-tls-version {1.0 | 1.1 | 1.2 | 1.3} \
    --custom-features FEATURES \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
  • FEATURES: Die verschiedenen Chiffrierverfahren, die Sie bei Verwendung des CUSTOM-Profils auswählen können. Weitere Informationen finden Sie unter Cipher Suites für TLS 1.2 und früher.
  • MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

Regionale SSL-Richtlinien

  • Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
  • Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

gcloud compute ssl-policies update SSL_POLICY_NAME \
    --profile {COMPATIBLE | MODERN | RESTRICTED | CUSTOM | FIPS_202205} \
    --min-tls-version {1.0 | 1.1 | 1.2 | 1.3} \
    --custom-features FEATURES \
    --region REGION \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
  • FEATURES: Die verschiedenen Chiffrierverfahren, die Sie bei Verwendung des CUSTOM-Profils auswählen können. Weitere Informationen finden Sie unter Cipher Suites für TLS 1.2 und früher.
  • REGION: die Region der SSL-Richtlinie, deren Funktionen Sie aktualisieren möchten
  • MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

Ziel-Proxy mit einer SSL-Richtlinie erstellen

Console

Sie können einen Zielproxy mithilfe der Google Cloud Console erstellen, wenn Sie den Load-Balancer erstellen oder aktualisieren, wie in den folgenden Dokumenten gezeigt:

gcloud

So erstellen Sie einen SSL-Zielproxy mit einer globalen SSL-Richtlinie:

gcloud compute target-ssl-proxies create TARGET_SSL_PROXY_NAME \
    --backend-service BACKEND_SERVICE_NAME \
    --ssl-certificate SSL_CERTIFICATE_NAME \
    --ssl-policy SSL_POLICY_NAME

Ersetzen Sie Folgendes:

  • TARGET_SSL_PROXY_NAME: der Name des Ziel-Proxys
  • BACKEND_SERVICE_NAME: der Name des Backend-Dienstes.
  • SSL_CERTIFICATE_NAME: der Name des TLS-Zertifikats
  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.

So erstellen Sie einen globalen HTTPS-Zielproxy mit einer globalen SSL-Richtlinie:

gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
    --ssl-certificate SSL_CERTIFICATE_NAME \
    --url-map URL_MAP_NAME \
    --ssl-policy SSL_POLICY_NAME

Ersetzen Sie Folgendes:

  • TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys
  • SSL_CERTIFICATE_NAME: der Name des TLS-Zertifikats
  • URL_MAP_NAME: der Name des URL-Mappings
  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.

So erstellen Sie einen regionalen HTTPS-Zielproxy mit einer regionalen SSL-Richtlinie:

gcloud compute target-https-proxies create REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --ssl-certificates SSL_CERTIFICATE_NAME \
    --url-map URL_MAP_NAME \
    --url-map-region MAP_REGION \
    --ssl-policy SSL_POLICY_NAME \
    --region REGION

Ersetzen Sie Folgendes:

  • REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys
  • SSL_CERTIFICATE_NAME: der Name des TLS-Zertifikats
  • URL_MAP_NAME: der Name des URL-Mappings
  • MAP_REGION: der Name der Google Cloud-Region, in der sich die URL-Zuordnung befindet
  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
  • REGION: die Region der SSL-Richtlinie, mit der Sie den HTTPS-Zielproxy erstellen möchten

Vorhandene SSL-Richtlinie an einen vorhandenen Ziel-Proxy anhängen

Console

Zielproxys können in der Google Cloud Console nicht geändert werden. Verwenden Sie stattdessen die gcloud CLI oder die API.

gcloud

Sie können die folgenden Befehle verwenden, um eine vorhandene SSL-Richtlinie an einen SSL-Proxy oder HTTPS-Proxy anzuhängen.

  • So finden Sie alle Projekte in Ihrer Organisation, die Ziel-SSL-Proxys haben:

    gcloud asset search-all-resources \
    --scope=organizations/ORGANIZATION_ID \
    --asset-types=compute.googleapis.com/TargetSslProxy

    Ersetzen Sie ORGANIZATION_ID durch die ID der Organisation, in der die Ziel-SSL-Proxys gesucht werden sollen.

  • So finden Sie alle Projekte in Ihrer Organisation, die Ziel-HTTPS-Proxys haben:

    gcloud asset search-all-resources \
    --scope=organizations/ORGANIZATION_ID \
    --asset-types=compute.googleapis.com/TargetHttpsProxy

    Ersetzen Sie ORGANIZATION_ID durch die ID der Organisation, in der Sie nach HTTPS-Zielproxys suchen möchten.

  • Verwenden Sie die Methode targetSslProxies.aggregatedList, um alle globalen Ziel-SSL-Proxys in einem Projekt aufzulisten. Verwenden Sie dann den Abfrageparameter filter, um nach Ziel-SSL-Proxys zu suchen, auf die keine SSL-Richtlinie verweist.

    curl \
    'https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetSslProxies?filter=sslPolicy%3D%22%22&key=YOUR_API_KEY' \
    --header 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
    --header 'Accept: application/json' \
    --compressed

    Ersetzen Sie Folgendes:

    • PROJECT_ID: der Name der Projekt-ID
    • YOUR_API_KEY: Ihr API-Schlüssel
    • YOUR_ACCESS_TOKEN: Ihr Zugriffstoken

  • Verwenden Sie die Methode targetHttpsProxies.aggregatedList, um alle globalen und regionalen HTTPS-Zielproxys in einem Projekt aufzulisten, wobei der Abfrageparameter includeAllScopes auf true festgelegt ist. Verwenden Sie dann den filter-Suchparameter, um nach Ziel-HTTPS-Proxys zu suchen, auf die keine SSL-Richtlinie verweist.

    curl \
    'https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/targetHttpsProxies?filter=sslPolicy%3D%22%22&includeAllScopes=true&key=YOUR_API_KEY' \
    --header 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
    --header 'Accept: application/json' \
    --compressed

    Ersetzen Sie Folgendes:

    • PROJECT_ID: der Name der Projekt-ID
    • YOUR_API_KEY: Ihr API-Schlüssel
    • YOUR_ACCESS_TOKEN: Ihr Zugriffstoken

  • So hängen Sie eine vorhandene globale SSL-Richtlinie an einen Ziel-SSL-Proxy an:

    gcloud compute target-ssl-proxies update TARGET_SSL_PROXY_NAME \
    --ssl-policy SSL_POLICY_NAME

    Ersetzen Sie Folgendes:

    • TARGET_SSL_PROXY_NAME: der Name des Ziel-Proxys
    • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.

  • So hängen Sie eine vorhandene globale SSL-Richtlinie an einen globalen Ziel-HTTPS-Proxy an:

    gcloud compute target-https-proxies update TARGET_HTTPS_PROXY_NAME \
    --ssl-policy SSL_POLICY_NAME

    Ersetzen Sie Folgendes:

    • TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys
    • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.

  • So hängen Sie eine vorhandene regionale SSL-Richtlinie an einen regionalen HTTPS-Zielproxy an:

    gcloud compute target-https-proxies update REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --ssl-policy SSL_POLICY_NAME \
    --region REGION

    Ersetzen Sie Folgendes:

    • REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys
    • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
    • REGION: die Region der SSL-Richtlinie, die Sie an den regionalen HTTPS-Zielproxy anhängen möchten

Wenn Sie eines der Flags --ssl-policy oder --clear-ssl-policy in einer Zielproxy-Aktualisierung nicht angeben, z. B. beim Aktualisieren eines SSL-Zertifikats, bleibt die SSL-Richtlinie unverändert. Das Flag --clear-ssl-policy wird unter SSL-Richtlinie von einem Zielproxy löschen beschrieben.

API

Verwenden Sie die Methode targetHttpsProxies.patch, um eine globale SSL-Richtlinie für einen globalen Ziel-Proxy festzulegen.

Verwenden Sie die regionTargetHttpsProxies.patch-Methode, um eine regionale SSL-Richtlinie für einen regionalen Zielproxy festzulegen.

SSL-Richtlinie von einem Zielproxy löschen

Console

Zielproxys können in der Google Cloud Console nicht geändert werden. Verwenden Sie stattdessen die gcloud CLI oder die API.

gcloud

Sie können die folgenden Befehle verwenden, um eine SSL-Richtlinie von einem SSL-Proxy oder HTTPS-Proxy zu entfernen. Wenn Sie keine andere SSL-Richtlinie an den Ziel-Proxy anhängen, verwendet der Load-Balancer die Standard-SSL-Richtlinie. Die Verwendung des Flags --clear-ssl-policy entspricht dem Austausch einer SSL-Richtlinie durch die Standard-SSL-Richtlinie.

So entfernen Sie eine globale SSL-Richtlinie von einem Ziel-SSL-Proxy:

gcloud compute target-ssl-proxies update TARGET_SSL_PROXY_NAME \
    --clear-ssl-policy

Ersetzen Sie TARGET_SSL_PROXY_NAME durch den Namen des Ziel-Proxys.

So entfernen Sie eine globale SSL-Richtlinie von einem globalen HTTPS-Zielproxy:

gcloud compute target-https-proxies update TARGET_HTTPS_PROXY_NAME \
    --clear-ssl-policy

Ersetzen Sie TARGET_HTTPS_PROXY_NAME durch den Namen des Ziel-Proxys.

So entfernen Sie eine regionale SSL-Richtlinie von einem regionalen Ziel-HTTPS-Proxy:

gcloud compute target-https-proxies update REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --clear-ssl-policy \
    --region REGION

Ersetzen Sie Folgendes:

  • REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys
  • REGION: die Region der SSL-Richtlinie, die Sie an den regionalen HTTPS-Zielproxy anhängen möchten

Wenn Sie im Update-Befehl das Flag --clear-ssl-policy angeben, wird die SSL-Richtlinie vom Proxy entfernt.

Wenn Sie eines der Flags --clear-ssl-policy und --ssl-policy in einer Zielproxy-Aktualisierung nicht angeben, z. B. beim Aktualisieren eines SSL-Zertifikats, bleibt die SSL-Richtlinie unverändert. Eine Beschreibung des Flags --ssl-policy finden Sie im Abschnitt Vorhandene SSL-Richtlinie an einen vorhandenen Ziel-Proxy anhängen.

Projektübergreifenden SSL-Richtlinienverweis konfigurieren

Wenn Sie projektübergreifende SSL-Richtlinienverweise konfigurieren, erstellen Sie eine SSL-Richtlinie in einem Verwaltungsprojekt (dem zentralen Richtlinienprojekt) und verweisen dann darauf, wenn Sie einen HTTPS-Zielproxyoder einen SSL-Zielproxy in einem anderen Projekt (einem Dienstprojekt) erstellen oder aktualisieren.

Projektübergreifende Verweise werden für globale und regionale SSL-Richtlinien unterstützt.

Wenn Sie projektübergreifend auf eine SSL-Richtlinie verweisen möchten, müssen Sie den vollständigen Ressourcen-URI der Richtlinie verwenden.

Rollen und Berechtigungen

In der folgenden Tabelle sind die IAM-Rollen (Identity and Access Management) und -Berechtigungen aufgeführt, die zum Konfigurieren von projektübergreifenden SSL-Richtlinienreferenzen erforderlich sind.

Umfang Erforderliche Rolle Erforderliche Berechtigungen
Zentrales Richtlinienprojekt (enthält die zentrale SSL-Richtlinie)
  • So erstellen und verwalten Sie Richtlinien: roles/compute.securityAdmin, roles/compute.networkAdmin oder roles/compute.loadBalancerAdmin
  • So hängen Sie eine Richtlinie an: roles/compute.securityAdmin, roles/compute.networkAdmin oder eine benutzerdefinierte Rolle mit der Berechtigung compute.sslPolicies.use
 compute.sslPolicies.use (kann für die jeweilige SSL-Richtlinienressource gewährt werden)
Dienstprojekt (enthält den Ziel-Proxy des Load Balancers) roles/compute.networkAdmin oder roles/compute.loadBalancerAdmin
  • compute.targetHttpsProxies.create oder compute.targetHttpsProxies.update
  • compute.targetSslProxies.create oder compute.targetSslProxies.update

Ziel-Proxy erstellen, der auf eine projektübergreifende SSL-Richtlinie verweist

Wenn Sie einen neuen Ziel-Proxy erstellen möchten, der auf eine SSL-Richtlinie in einem anderen Projekt verweist, geben Sie den vollständigen Ressourcen-URI der zentralen Richtlinie an.

gcloud

Verwenden Sie je nach Load-Balancer-Typ einen der folgenden Befehle:

  • So erstellen Sie einen globalen HTTPS-Zielproxy:

    gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
    --url-map=URL_MAP_NAME \
    --ssl-certificates=SSL_CERTIFICATE_NAME \
    --ssl-policy=projects/POLICY_PROJECT_ID/global/sslPolicies/CENTRAL_SSL_POLICY_NAME \
    --project=SERVICE_PROJECT_ID

  • So erstellen Sie einen globalen SSL-Zielproxy:

    gcloud compute target-ssl-proxies create TARGET_SSL_PROXY_NAME \
    --backend-service=BACKEND_SERVICE_NAME \
    --ssl-certificates=SSL_CERTIFICATE_NAME \
    --ssl-policy=projects/POLICY_PROJECT_ID/global/sslPolicies/CENTRAL_SSL_POLICY_NAME \
    --project=SERVICE_PROJECT_ID

  • So erstellen Sie einen regionalen HTTPS-Zielproxy:

    gcloud compute target-https-proxies create REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --url-map=URL_MAP_NAME \
    --url-map-region=REGION \
    --ssl-certificates=SSL_CERTIFICATE_NAME \
    --ssl-policy=projects/POLICY_PROJECT_ID/regions/REGION/sslPolicies/CENTRAL_SSL_POLICY_NAME \
    --region=REGION \
    --project=SERVICE_PROJECT_ID

Ersetzen Sie Folgendes:

  • TARGET_HTTPS_PROXY_NAME, TARGET_SSL_PROXY_NAME und REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys.
  • URL_MAP_NAME ist der Name der URL-Zuordnung.
  • SSL_CERTIFICATE_NAME: der Name des TLS-Zertifikats.
  • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
  • POLICY_PROJECT_ID: Die ID des Projekts, in dem sich die SSL-Richtlinie befindet.
  • CENTRAL_SSL_POLICY_NAME: Der Name der SSL-Richtlinie.
  • SERVICE_PROJECT_ID: die ID des Projekts, in dem Sie den Load-Balancer bereitstellen.
  • REGION: die Region, in der sich der Zielproxy und die SSL-Richtlinie befinden.

Terraform

Wenn Sie in derselben Terraform-Konfiguration auf SSL-Richtlinien in anderen Projekten verweisen möchten, verwenden Sie die Ressource google_compute_ssl_policy im zentralen Richtlinienprojekt und übergeben Sie ihre Ressourcen-ID an die Ressource google_compute_target_https_proxy im Dienstprojekt.

# SSL Policy in the central policy project
resource "google_compute_ssl_policy" "central_policy" {
  name             = "CENTRAL_SSL_POLICY_NAME"
  project          = "POLICY_PROJECT_ID"
  profile          = "MODERN"
  min_tls_version  = "TLS_1_2"
}

# Target HTTPS proxy in the service project
resource "google_compute_target_https_proxy" "default" {
  name             = "TARGET_HTTPS_PROXY_NAME"
  project          = "SERVICE_PROJECT_ID"
  url_map          = google_compute_url_map.default.id
  ssl_certificates = [google_compute_managed_ssl_certificate.default.id]
  ssl_policy       = google_compute_ssl_policy.central_policy.id
}

Projektübergreifende SSL-Richtlinie an einen Zielproxy anhängen

Verwenden Sie eine der folgenden Methoden, um eine vorhandene zentrale SSL-Richtlinie an einen Zielproxy in einem anderen Projekt anzuhängen.

gcloud

Wenn Sie auf die zentrale Richtlinie verweisen möchten, führen Sie den Aktualisierungsbefehl für den Zielproxy aus und geben Sie den vollständigen Ressourcen-URI der Richtlinie an.

Verwenden Sie je nach Load-Balancer-Typ einen der folgenden Befehle:

  • Für globale HTTPS-Load-Balancer:

    gcloud compute target-https-proxies update TARGET_PROXY_NAME \
    --ssl-policy=projects/POLICY_PROJECT_ID/global/sslPolicies/CENTRAL_SSL_POLICY_NAME \
    --project=SERVICE_PROJECT_ID

  • Für globale SSL-Proxy-Load-Balancer:

    gcloud compute target-ssl-proxies update TARGET_PROXY_NAME \
    --ssl-policy=projects/POLICY_PROJECT_ID/global/sslPolicies/CENTRAL_SSL_POLICY_NAME \
    --project=SERVICE_PROJECT_ID

  • Für regionale HTTPS-Load-Balancer:

    gcloud compute target-https-proxies update REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --ssl-policy=projects/POLICY_PROJECT_ID/regions/REGION/sslPolicies/CENTRAL_SSL_POLICY_NAME \
    --region=REGION \
    --project=SERVICE_PROJECT_ID

Ersetzen Sie Folgendes:

  • TARGET_PROXY_NAME und REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des SSL- bzw. HTTPS-Zielproxys.
  • POLICY_PROJECT_ID: Die ID des Projekts, in dem sich die SSL-Richtlinie befindet.
  • CENTRAL_SSL_POLICY_NAME: Der Name der SSL-Richtlinie.
  • SERVICE_PROJECT_ID: die ID des Projekts, in dem sich der Load-Balancer befindet.
  • REGION: die Region, in der sich der Zielproxy und die SSL-Richtlinie befinden.

Terraform

  • Für globale Load Balancer:

    Wenn die zentrale globale SSL-Richtlinie in einer separaten Terraform-Konfiguration oder von einem anderen Team verwaltet wird, legen Sie das Feld ssl_policy in Ihrem HTTPS-Zielproxy auf den vollständigen Ressourcen-URI der Richtlinie fest. Weitere Informationen finden Sie unter google_compute_target_https_proxy.

    resource "google_compute_target_https_proxy" "default" {
  name             = "TARGET_HTTPS_PROXY_NAME"
  project          = "SERVICE_PROJECT_ID"
  url_map          = google_compute_url_map.default.id
  ssl_certificates = [google_compute_managed_ssl_certificate.default.id]
  ssl_policy       = "projects/POLICY_PROJECT_ID/global/sslPolicies/CENTRAL_SSL_POLICY_NAME"
}

  • Für regionale Load Balancer:

    Wenn Sie auf eine vorhandene zentrale regionale SSL-Richtlinie verweisen möchten, die von einem anderen Team oder in einer separaten Terraform-Konfiguration verwaltet wird, legen Sie das Feld ssl_policy in der Konfiguration des Zielproxys auf die Ressourcen-ID der SSL-Richtlinie fest, die im zentralen Richtlinienprojekt erstellt wurde. Geben Sie dazu den vollständigen Ressourcen-URI-String an. Weitere Informationen finden Sie unter google_compute_target_https_proxy.

    resource "google_compute_target_https_proxy" "default" {
  name             = "TARGET_HTTPS_PROXY_NAME"
  project          = "SERVICE_PROJECT_ID"
  url_map          = google_compute_url_map.default.id
  ssl_certificates = [google_compute_managed_ssl_certificate.default.id]
  ssl_policy       = "projects/POLICY_PROJECT_ID/regions/REGION/sslPolicies/CENTRAL_SSL_POLICY_NAME"
}

Fehlerbehebung

In diesem Abschnitt erfahren Sie, wie Sie Probleme beheben, die bei der Konfiguration von projektübergreifenden SSL-Richtlinienreferenzen auftreten können.

  • Fehler: Berechtigung compute.sslPolicies.use erforderlich.

    Dieser Fehler tritt auf, wenn der Nutzer oder das Dienstkonto, der das Update ausführt, nicht die Berechtigung compute.sslPolicies.use für das zentrale Richtlinienprojekt mit der zentralen SSL-Richtlinie hat. Um dieses Problem zu beheben, muss dem zentralen Richtlinienprojekt die richtige Rolle (z. B. roles/compute.securityAdmin oder roles/compute.networkAdmin) zugewiesen werden. Weitere Informationen finden Sie unter Rollen und Berechtigungen.

  • Fehler: Richtlinie nicht gefunden.

    Dieser Fehler tritt auf, wenn ein Fehler im Ressourcen-URI für die SSL-Richtlinie vorliegt. Prüfen Sie die Projekt-ID und den Richtliniennamen im URI auf Tippfehler.

  • Die zentrale SSL-Richtlinie kann nicht gelöscht werden.

    Google Cloud verhindert automatisch das Löschen einer SSL-Richtlinie, auf die von einem Zielproxy verwiesen wird, auch wenn sich der referenzierende Zielproxy in einem anderen Projekt befindet. Sie müssen die Richtlinie zuerst von allen Zielproxys trennen, bevor Sie sie löschen können.

SSL-Richtlinien verwalten

Wenn Sie benutzerdefinierte Einschränkungen verwenden, um TLS-Funktionen einzuschränken, müssen Sie manuell prüfen, ob vorhandene SSL-Richtlinien, die an Ziel-SSL-Proxys und Ziel-HTTPS-Proxys angehängt sind, TLS-konform sind.

Mit den folgenden Beispielen können Sie SSL-Richtlinien finden und aktualisieren, die nicht Ihren Sicherheitsanforderungen entsprechen.

  • So finden Sie alle Projekte in Ihrer Organisation, die SSL-Richtlinienressourcen haben:

    gcloud asset search-all-resources \
    --scope=organizations/ORGANIZATION_ID \
    --asset-types=compute.googleapis.com/SslPolicy

    Ersetzen Sie ORGANIZATION_ID durch die ID der Organisation, in der alle Projekte mit SSL-Richtlinienressourcen gesucht werden sollen.

  • Verwenden Sie die Methode sslPolicies.aggregatedList, um alle globalen und regionalen SSL-Richtlinien in einem Projekt aufzulisten, wobei der Abfrageparameter includeAllScopes auf true festgelegt ist. Verwenden Sie dann den Abfrageparameter filter, um nach SSL-Richtlinien zu suchen, die nicht Ihren Sicherheitszielen entsprechen.

    Wenn Sie beispielsweise SSL-Richtlinien mit einer TLS-Version unter 1.2 suchen möchten, verwenden Sie den Filter minTlsVersion="TLS_1_0" oder minTlsVersion="TLS_1_1":

    curl \

  'https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/sslPolicies?filter=minTlsVersion%3D%22TLS_1_0%22%20OR%20minTlsVersion%3D%22TLS_1_1%22&includeAllScopes=true&key=YOUR_API_KEY' \
  --header 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
  --header 'Accept: application/json' \
  --compressed

    Ersetzen Sie Folgendes:

    • PROJECT_ID: der Name der Projekt-ID
    • YOUR_API_KEY: Ihr API-Schlüssel
    • YOUR_ACCESS_TOKEN: Ihr Zugriffstoken

    Informationen zum Abrufen Ihres API-Schlüssels finden Sie unter API-Schlüssel verwalten. Verwenden Sie die Methode projects.serviceAccounts.generateAccessToken, um Ihr Zugriffstoken zu erhalten.

    Aktualisieren Sie dann die SSL-Richtlinien, die Ihre Mindestanforderung an TLS nicht erfüllen.

    Mit dem folgenden Befehl können Sie eine globale SSL-Richtlinie aktualisieren:

    gcloud compute ssl-policies update SSL_POLICY_NAME \
    --min-tls-version=TLS_1_2 \
    --global

    Ersetzen Sie SSL_POLICY_NAME durch den Namen, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.

    Mit dem folgenden Befehl können Sie eine regionale SSL-Richtlinie aktualisieren:

    gcloud compute ssl-policies update SSL_POLICY_NAME \
    --min-tls-version=TLS_1_2 \
    --region REGION

    Ersetzen Sie Folgendes:

    • SSL_POLICY_NAME: Der Name der SSL-Richtlinie.
    • REGION: die Region für die SSL-Richtlinie

  • Führen Sie den folgenden Befehl aus, um alle Ziel-SSL-Proxys in einem Projekt aufzulisten, die nicht mit einer SSL-Richtlinie verknüpft sind:

    curl \

  'https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetSslProxies?filter=sslPolicy%3D%22%22&key=YOUR_API_KEY' \
    --header 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
    --header 'Accept: application/json' \
    --compressed

    Ersetzen Sie Folgendes:

    • PROJECT_ID: der Name der Projekt-ID
    • YOUR_API_KEY: Ihr API-Schlüssel
    • YOUR_ACCESS_TOKEN: Ihr Zugriffstoken

    Informationen zum Anhängen einer SSL-Richtlinie an diese Zielproxys finden Sie unter Vorhandene SSL-Richtlinie an einen vorhandenen Zielproxy anhängen.

  • Sie können auch Cloud Asset Inventory oder den Google APIs Explorer verwenden, um Ressourcen zu finden und zu aktualisieren, die nicht Ihren Sicherheitsanforderungen entsprechen.

    Wenn Sie beispielsweise eine Liste von SSL-Zielproxys aufrufen möchten, die nicht mit einer SSL-Richtlinie verknüpft sind, können Sie in Cloud Asset Inventory so vorgehen:

    1. Rufen Sie in der Google Cloud Console die Seite Asset Inventory auf.

      Zu Asset Inventory

    2. Klicken Sie auf Asset-Abfrage.

    3. Geben Sie im Feld Abfrage bearbeiten die folgende Abfrage ein und klicken Sie auf Ausführen.

      select * from `compute_googleapis_com_TargetSslProxy` where resource.data.sslPolicy IS NULL

    4. Informationen zum Anhängen einer SSL-Richtlinie an diese Zielproxys finden Sie unter Vorhandene SSL-Richtlinie an einen vorhandenen Zielproxy anhängen.

    5. Führen Sie die Abfrage in Cloud Asset Inventory aus, bis Sie eine leere Antwort erhalten.

Limits

Weitere Informationen finden Sie unter Zielproxys.

API-Referenz

Eine Beschreibung der Attribute und Methoden, die Sie für SSL-Richtlinien über die REST API nutzen können, finden Sie unter:

Produkt API-Dokumentation
  • Globaler externer Application Load Balancer
  • Klassischer Application Load Balancer
  • Regionsübergreifender interner Application Load Balancer
  • Globaler externer Proxy-Network Load Balancer
  • Klassischer Proxy-Network Load Balancer
 sslPolicies
  • Regionaler externer Application Load Balancer
  • Regionaler interner Application Load Balancer
 regionSslPolicies

Referenz zur gcloud CLI

Informationen zur Google Cloud CLI finden Sie hier:

Nächste Schritte