הגבלת סט אלגוריתמים להצפנה (cipher suite) ב-TLS במופע של Looker (Google Cloud Core)‎

ב-Google Cloud יש תמיכה בסטים מרובים של אלגוריתמים להצפנה (cipher suite) ב-TLS. כדי לעמוד בדרישות אבטחה או בדרישות תאימות, יכול להיות שתרצו לדחות בקשות מלקוחות שמשתמשים בחבילות הצפנה של TLS ברמת אבטחה נמוכה.

האילוץ gcp.restrictTLSCipherSuites של מדיניות הארגון מספק את היכולת הזו.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות בשביל להגדיר, לשנות או למחוק כללי מדיניות של הארגון, אתם צריכים לבקש מהאדמין להקצות לכם את תפקיד ה-IAM אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הגדרת מדיניות הארגון

אפשר להחיל את האילוץ gcp.restrictTLSCipherSuites על מדיניות הארגון על מופעים של Looker (Google Cloud core) שמשתמשים בהגדרת רשת עם כתובת IP ציבורית.

אפשר להחיל את האילוץ לפני או אחרי שיוצרים את המופע.

פועלים לפי ההוראות בדף התיעוד בנושא הגבלת סטים של אלגוריתמים להצפנה ב-TLS כדי להגדיר את מדיניות הארגון. ‫Looker (הליבה של Google Cloud) תואם לפרופיל מדיניות ה-SSL המודרני שמנוהל על ידי Google, ותומך בחבילות ההצפנה שנכללות בפרופיל הזה.

אם מגדירים או משנים את מדיניות הארגון אחרי שיוצרים את מופע Looker (Google Cloud core), צריך לבצע אחת מהפעולות הבאות כדי להחיל את העדכון של מדיניות הארגון על מופע Looker (Google Cloud core):

הפרות מדיניות

אם מגדירים את ההגבלה של מדיניות הארגון כך שלא תהיה אפשרות להשתמש בחבילות צפנים מודרניות שנתמכות על ידי Looker (Google Cloud core), לא תהיה אפשרות ליצור, לעדכן או להפעיל מחדש את מופע Looker (Google Cloud core), ותופיע השגיאה הבאה:

com.google.apps.framework.request.FailedPreconditionException:
Constraint`constraints/gcp.restrictTLSCipherSuites` is violated for resource
`resourcemanager_projects``PROJECT_ID` Code: FAILED_PRECONDITION

הפלט הזה כולל את הערך PROJECT_ID, שהוא המזהה של הפרויקט שמארח את מופע Looker (Google Cloud core).

כדי לפתור את הבעיה, צריך לעדכן את מדיניות הארגון gcp.restrictTLSCipherSuites כדי לאפשר לפחות סט אלגוריתמים להצפנה (cipher suite) אחד נתמך.