הגבלת סט אלגוריתמים להצפנה (cipher suite) ב-TLS במופע של Looker (Google Cloud Core)‎

Google Cloud תומך בסטים רבים של אלגוריתמים להצפנה (cipher suite) ב-TLS. כדי לעמוד בדרישות אבטחה או בדרישות תאימות, יכול להיות שתרצו לדחות בקשות מלקוחות שמשתמשים בחבילות הצפנה של TLS שהן פחות מאובטחות.

האילוץ gcp.restrictTLSCipherSuites של מדיניות הארגון מספק את היכולת הזו.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות בשביל להגדיר, לשנות או למחוק מדיניות ארגונית, אתם צריכים לבקש מהאדמין לתת לכם את תפקיד ה-IAM‏ Organization Policy Administrator (roles/orgpolicy.policyAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הגדרת מדיניות הארגון

אפשר להחיל את האילוץ gcp.restrictTLSCipherSuites על מדיניות הארגון על מופעים של Looker (Google Cloud core) שמשתמשים בתצורת רשת של כתובות IP ציבוריות.

אפשר להחיל את האילוץ לפני או אחרי שיוצרים את המופע.

פועלים לפי ההוראות בדף התיעוד בנושא הגבלת סטים של אלגוריתמים להצפנה ב-TLS כדי להגדיר את מדיניות הארגון. ‫Looker (הליבה של Google Cloud) תואם לפרופיל מדיניות ה-SSL המודרני שמנוהל על ידי Google, ותומך בחבילות ההצפנה שכלולות בפרופיל הזה.

אם מגדירים או משנים את מדיניות הארגון אחרי שיוצרים את מופע Looker (Google Cloud core), צריך לבצע אחת מהפעולות הבאות כדי להחיל את העדכון של מדיניות הארגון על מופע Looker (Google Cloud core):

הפרות מדיניות

אם תגדירו את ההגבלה של מדיניות הארגון כך שלא תהיה אפשרות להשתמש בחבילות הצפנה מודרניות שנתמכות על ידי Looker ‏ (Google Cloud Core), לא תוכלו ליצור, לעדכן או להפעיל מחדש את מופע Looker ‏ (Google Cloud Core) ותקבלו את השגיאה הבאה:

com.google.apps.framework.request.FailedPreconditionException:
Constraint`constraints/gcp.restrictTLSCipherSuites` is violated for resource
`resourcemanager_projects``PROJECT_ID` Code: FAILED_PRECONDITION

הפלט הזה כולל את הערך PROJECT_ID, שהוא המזהה של הפרויקט שמארח את מופע Looker (Google Cloud core).

כדי לפתור את הבעיה, צריך לעדכן את מדיניות הארגון gcp.restrictTLSCipherSuites כדי לאפשר לפחות סט אלגוריתמים להצפנה (cipher suite) אחד נתמך.