REST Resource: projects.locations.serverTlsPolicies

משאב: ServerTlsPolicy

‫ServerTlsPolicy הוא משאב שמציין איך השרת צריך לאמת בקשות נכנסות. המשאב הזה לא משפיע על ההגדרה, אלא אם הוא מצורף לשרת proxy ל-HTTPS או למשאב לבחירת הגדרות של נקודת קצה (endpoint).

אפשר לצרף ServerTlsPolicy בפורמט שמאזני העומסים של האפליקציות מקבלים רק ל-TargetHttpsProxy עם סכימת איזון עומסים מסוג EXTERNAL, ‏ EXTERNAL_MANAGED או INTERNAL_MANAGED. אפשר לצרף את ServerTlsPolicies שתואם ל-Traffic Director ל-EndpointPolicy ול-TargetHttpsProxy עם סכימת איזון העומסים INTERNAL_SELF_MANAGED של Traffic Director.

ייצוג ב-JSON 
{
  "name": string,
  "description": string,
  "createTime": string,
  "updateTime": string,
  "labels": {
    string: string,
    ...
  },
  "allowOpen": boolean,
  "serverCertificate": {
    object (CertificateProvider)
  },
  "mtlsPolicy": {
    object (MTLSPolicy)
  }
}
שדות
name

string

חובה. השם של המשאב ServerTlsPolicy. הוא תואם לתבנית projects/*/locations/{location}/serverTlsPolicies/{serverTlsPolicy}
description

string

תיאור בטקסט חופשי של המשאב.
createTime

string (Timestamp format)

פלט בלבד. חותמת הזמן של מועד יצירת המשאב.

הפורמט הוא RFC 3339, והפלט שנוצר תמיד יהיה מנורמל ל-Z ויכלול 0, 3, 6 או 9 ספרות אחרי הנקודה העשרונית. אפשר להשתמש גם בהיסטים אחרים, לא רק ב-Z. לדוגמה: "2014-10-02T15:01:23Z", ‏ "2014-10-02T15:01:23.045123456Z" או "2014-10-02T15:01:23+05:30".
updateTime

string (Timestamp format)

פלט בלבד. חותמת הזמן של מועד העדכון של המשאב.

הפורמט הוא RFC 3339, והפלט שנוצר תמיד יהיה מנורמל ל-Z ויכלול 0, 3, 6 או 9 ספרות אחרי הנקודה העשרונית. אפשר להשתמש גם בהיסטים אחרים, לא רק ב-Z. לדוגמה: "2014-10-02T15:01:23Z", ‏ "2014-10-02T15:01:23.045123456Z" או "2014-10-02T15:01:23+05:30".
labels

map (key: string, value: string)

קבוצה של תגי תוויות שמשויכים למשאב.

אובייקט שמכיל רשימה של זוגות "key": value. לדוגמה: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
allowOpen

boolean

השדה הזה רלוונטי רק למדיניות של Traffic Director. בכללי המדיניות של מאזן העומסים של אפליקציות (ALB), צריך להגדיר את הערך False.

קובעת אם השרת מאפשר חיבורים בטקסט פשוט. אם המדיניות מוגדרת כ-True, השרת מאפשר חיבורים של טקסט פשוט. כברירת מחדל, הערך שמוגדר הוא False. ההגדרה הזו לא מבטלת מצבי הצפנה אחרים. לדוגמה, אם allowOpen ו-mtlsPolicy מוגדרים, השרת מאפשר גם חיבורי טקסט פשוט וגם חיבורי mTLS. כדי לוודא תאימות, כדאי לעיין במסמכי התיעוד של מצבי הצפנה אחרים.

כדאי להשתמש בה אם רוצים לשדרג את הפריסה ל-TLS, בזמן שתנועה מעורבת של TLS ושל לא-TLS מגיעה ליציאה ‎ :80.
serverCertificate

object (CertificateProvider)

אופציונלי אם המדיניות מיועדת לשימוש עם Traffic Director. במאזני עומסים של אפליקציות (ALB) השדה הזה צריך להיות ריק.

מגדירה מנגנון להקצאת זהות לשרת (מפתחות ציבוריים ופרטיים). אי אפשר לשלב עם allowOpen כי אין תמיכה במצב מתירני שמאפשר גם טקסט פשוט וגם TLS.
mtlsPolicy

object (MTLSPolicy)

השדה הזה נדרש אם משתמשים במדיניות עם מאזני עומסים של אפליקציות. השדה הזה יכול להיות ריק ב-Traffic Director.

המדיניות מגדירה מנגנון להקצאת אישורים לאימות עמיתים לצורך אימות מקצה לקצה (Mutual TLS - mTLS). אם לא מציינים את המדיניות, לא תתבצע בקשה לאישור לקוח. החיבור נחשב כ-TLS ולא כ-mTLS. אם המדיניות allowOpen ו-mtlsPolicy מוגדרות, השרת מאפשר גם חיבורי טקסט פשוט וגם חיבורי mTLS.

MTLSPolicy

המפרט של MTLSPolicy.

ייצוג ב-JSON 
{
  "clientValidationMode": enum (ClientValidationMode),
  "clientValidationCa": [
    {
      object (ValidationCA)
    }
  ],
  "clientValidationTrustConfig": string,
  "tier": enum (Tier)
}
שדות
clientValidationMode

enum (ClientValidationMode)

כשהלקוח מציג למאזן העומסים אישור לא תקין או לא מציג אישור בכלל, הערך של clientValidationMode קובע איך החיבור של הלקוח יטופל.

חובה אם המדיניות מיועדת לשימוש עם מאזני עומסים של אפליקציות (ALB). ב-Traffic Director, השדה הזה צריך להיות ריק.
clientValidationCa[]

object (ValidationCA)

חובה אם המדיניות מיועדת לשימוש עם Traffic Director. במאזני עומסים של אפליקציות (ALB) הוא חייב להיות ריק.

מגדירה את המנגנון לקבלת האישור של רשות האישורים (CA) כדי לאמת את אישור הלקוח.
clientValidationTrustConfig

string

הפניה ל-TrustConfig ממרחב השמות certificatemanager.googleapis.com.

אם מציינים את המדיניות, אימות השרשרת יתבצע מול אישורים שהוגדרו ב-TrustConfig הנתון.

מותר רק אם המדיניות מיועדת לשימוש עם מאזני עומסים של אפליקציות (ALB).
tier

enum (Tier)

רמת Mutual TLS.

מותר רק אם המדיניות מיועדת לשימוש עם מאזני עומסים של אפליקציות (ALB).

ClientValidationMode

מצב אימות של אישור Mutual TLS (mTLS).

טיפוסים בני מנייה (enum)
CLIENT_VALIDATION_MODE_UNSPECIFIED אסור.
ALLOW_INVALID_OR_MISSING_CLIENT_CERT אפשר להתחבר גם אם אימות שרשרת האישורים של אישור הלקוח נכשל או אם לא הוצג אישור לקוח. ההוכחה לבעלות על המפתח הפרטי נבדקת תמיד אם הוצג אישור לקוח. במצב הזה, ה-backend צריך לעבד את הנתונים שחולצו מאישור הלקוח כדי לאמת את הצד השני, או לדחות חיבורים אם חסרה טביעת אצבע לאישור של אישור הלקוח.
REJECT_INVALID

לדרוש אישור לקוח ולאפשר חיבור לקצה העורפי רק אם האימות של אישור הלקוח עבר בהצלחה.

אם המדיניות מוגדרת, נדרשת הפניה ל-TrustConfig לא ריק שצוין ב-clientValidationTrustConfig.

רמה

רמת Mutual TLS ל-XLB.

טיפוסים בני מנייה (enum)
TIER_UNSPECIFIED אם לא מציינים רמה בבקשה, המערכת תבחר ערך ברירת מחדל – כרגע הרמה היא STANDARD.
STANDARD רמת ברירת המחדל. בעיקר לספקי תוכנה (תקשורת בין שירותים/ממשקי API).
ADVANCED רמת Advanced. ללקוחות בסביבות עם רגולציה מחמירה, שצריכים לציין מפתחות ארוכים יותר ושרשראות אישורים מורכבות.

Methods

create

 יצירת ServerTlsPolicy חדש בפרויקט ובמיקום נתונים.

delete

 מחיקה של ServerTlsPolicy אחד.

get

 אחזור פרטים של ServerTlsPolicy יחיד.

list

 הצגת רשימה של ServerTlsPolicies בפרויקט ובמיקום נתונים.

patch

 עדכון הפרמטרים של ServerTlsPolicy יחיד.