SSL プロトコルと TLS プロトコルに SSL ポリシーを使用する

SSL ポリシーでは、Google Cloud ロードバランサがクライアントと SSL のネゴシエーションで使用する一連の SSL 機能を指定します。このドキュメントでは、SSL という用語は、SSL プロトコルと TLS プロトコルの両方を指します。

SSL ポリシーは、次のロードバランサでサポートされています。

グローバル SSL ポリシー
- グローバル外部アプリケーションロードバランサ
- 従来のアプリケーションロードバランサ
- 外部プロキシネットワークロードバランサ（ターゲット SSL プロキシを使用）
- クロスリージョン内部アプリケーションロードバランサ
リージョン SSL ポリシー
- リージョン外部アプリケーションロードバランサ
- リージョン内部アプリケーションロードバランサ

SSL ポリシーの仕組みの詳細については、SSL ポリシーの概要をご覧ください。

HTTPS ロードバランサや SSL ロードバランサを作成する際、または作成後はいつでも、Google Cloud コンソールや Google Cloud CLI を使用して SSL ポリシーを作成できます。

リージョン SSL ポリシーを一覧表示、作成、管理するには、gcloud CLI バージョン 404 以降が実行されていることを確認してください。

SSL ポリシーを作成する

SSL ポリシーは、Google が管理するプロファイルまたはカスタムプロファイルを使用して作成できます。

Google 管理のプロファイルを使用した SSL ポリシーの作成

コンソール

グローバル SSL ポリシー

Google マネージドプロファイルを使用してグローバル SSL ポリシーを作成するには、次の手順を行います。

Google Cloud コンソールで、[SSL ポリシー] ページに移動します。

[SSL ポリシー] に移動
[ポリシーを作成] をクリックします。
グローバル SSL ポリシーの横にある [作成] ボタンをクリックします。[ポリシーの作成] ページが表示されます。
名前を入力します。
[TLS の最小バージョン] を選択します。
[プロフィール] で [互換]、[モダン]、または [制限付き] を選択します。プロファイルの [有効な機能] と [無効な機能] がページの右側に表示されます。
ポリシーを追加するロードバランサがある場合は、[ターゲットに適用] をクリックして、SSL ポリシーのターゲットとして転送ルールを選択します。必要に応じて、ターゲットを追加します。
[作成] をクリックします。

リージョン SSL ポリシー

Google マネージドプロファイルを使用してリージョン SSL ポリシーを作成するには、次の操作を行います。

Google Cloud コンソールで、[SSL ポリシー] ページに移動します。

[SSL ポリシー] に移動
[ポリシーを作成] をクリックします。
リージョン SSL ポリシーの横にある [作成] ボタンをクリックします。[ポリシーの作成] ページが表示されます。
名前を入力します。
リージョンを選択します。
[TLS の最小バージョン] を選択します。
[プロフィール] で [互換]、[モダン]、または [制限付き] を選択します。プロファイルの [有効な機能] と [無効な機能] がページの右側に表示されます。
ポリシーを追加するロードバランサがある場合は、[ターゲットに適用] をクリックして、SSL ポリシーのターゲットとして転送ルールを選択します。必要に応じて、ターゲットを追加します。
[作成] をクリックします。

gcloud

グローバル SSL ポリシー

Google 管理のプロファイルを使用してグローバル SSL ポリシーを作成する場合の一般的な構文は次のとおりです。

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile COMPATIBLE | MODERN | RESTRICTED \
    --min-tls-version 1.0 | 1.1 | 1.2

次のコマンドは、MODERN プロファイルでグローバル SSL ポリシーを作成します。

gcloud compute ssl-policies create my-ssl-policy \
    --profile MODERN \
    --min-tls-version 1.0

リージョン SSL ポリシー

Google 管理のプロファイルを使用してリージョン SSL ポリシーを作成する場合の一般的な構文は次のとおりです。

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile COMPATIBLE | MODERN | RESTRICTED \
    --min-tls-version 1.0 | 1.1 | 1.2 \
    --region REGION

次のコマンドは、COMPATIBLE プロファイルを使用してリージョン SSL ポリシーを作成します。

gcloud compute ssl-policies create my-ssl-policy \
    --profile COMPATIBLE \
    --min-tls-version 1.1 \
    --region us-west1

カスタムプロファイルを使用した SSL ポリシーの作成

コンソール

グローバル SSL ポリシー

カスタムプロファイルを使用してグローバル SSL ポリシーを作成するには、次の操作を行います。

Google Cloud コンソールで、[SSL ポリシー] ページに移動します。

[SSL ポリシー] に移動
[ポリシーを作成] をクリックします。
グローバル SSL ポリシーの横にある [作成] ボタンをクリックします。[ポリシーの作成] ページが表示されます。
名前を入力します。
[TLS の最小バージョン] を選択します。
[プロファイル] で、[カスタム] を選択します。すべての機能が、ページの右側の [無効な機能] に表示されます。
[機能] のリストで、有効にする各暗号スイートを選択します。有効にした暗号スイートは、[有効な機能] としてリストされます。
ポリシーを追加するロードバランサがある場合は、[ターゲットに適用] をクリックして、SSL ポリシーのターゲットとして転送ルールを選択します。必要に応じて、ターゲットを追加します。
[作成] をクリックします。

リージョン SSL ポリシー

カスタムプロファイルを使用してリージョン SSL ポリシーを作成するには、次の操作を行います。

Google Cloud コンソールで、[SSL ポリシー] ページに移動します。

[SSL ポリシー] に移動
[ポリシーを作成] をクリックします。
リージョン SSL ポリシーの横にある [作成] ボタンをクリックします。[ポリシーの作成] ページが表示されます。
名前を入力します。
リージョンを選択します。
[TLS の最小バージョン] を選択します。
[プロファイル] で、[カスタム] を選択します。すべての機能が、ページの右側の [無効な機能] に表示されます。
[機能] のリストで、有効にする各暗号スイートを選択します。有効にした暗号スイートは、[有効な機能] としてリストされます。
ポリシーを追加するロードバランサがある場合は、[ターゲットに適用] をクリックして、SSL ポリシーのターゲットとして転送ルールを選択します。必要に応じて、ターゲットを追加します。
[作成] をクリックします。

gcloud

CUSTOM プロファイルを使用して SSL ポリシーを作成すると、create コマンドで指定した機能だけがサポートされます。他の機能はサポートされません。

グローバル SSL ポリシー

カスタムプロファイルでグローバル SSL ポリシーを作成するための一般的な構文は次のとおりです。

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile CUSTOM \
    --min-tls-version 1.0 | 1.1 | 1.2 \
    --custom-features SSL_FEATURE_1[,SSL_FEATURE_2,SSL_FEATURE_3]

次の例では、最小 TLS バージョン 1.2、および TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 と TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 の各機能を使用した CUSTOM プロファイルでグローバル SSL ポリシーを作成します。

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile CUSTOM \
    --min-tls-version 1.2 \
    --custom-features TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

リージョン SSL ポリシー

カスタムプロファイルを使用してリージョン SSL ポリシーを作成する一般的な構文は次のとおりです。

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile CUSTOM \
    --min-tls-version 1.0 | 1.1 | 1.2 \
    --custom-features SSL_FEATURE_1[,SSL_FEATURE_2,SSL_FEATURE_3] \
    --region REGION

次の例では、最小 TLS バージョン 1.2、および TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 と TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 の各機能を使用した CUSTOM プロファイルでリージョン SSL ポリシーを作成します。

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile CUSTOM \
    --min-tls-version 1.2 \
    --custom-features TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 \
    --region us-west1

SSL ポリシーの一覧表示

コンソール

Google Cloud コンソールで、[SSL ポリシー] ページに移動します。

[SSL ポリシー] に移動

使用可能なすべての SSL ポリシーのリストを表示できます。[スコープ] フィールドは、SSL ポリシーがグローバルかリージョンかを示します。

gcloud

グローバル SSL ポリシーとリージョン SSL ポリシーの両方を一覧表示するには、次のコマンドを実行します。

  gcloud compute ssl-policies list

グローバル SSL ポリシーのみを一覧表示するには、次のコマンドを実行します。

  gcloud compute ssl-policies list --global

リージョン SSL ポリシーのみを一覧表示するには、次のコマンドを実行します。

  gcloud compute ssl-policies list --regions REGION

SSL ポリシーで使用可能な機能の一覧表示

コンソール

Google Cloud コンソールで、[SSL ポリシー] ページに移動します。

[SSL ポリシー] に移動
機能を表示するポリシーの名前をクリックします。有効または無効の暗号スイートのリストがページの右側に表示されます。

gcloud

グローバル SSL ポリシーで使用可能な機能を一覧表示するには:

gcloud compute ssl-policies list-available-features

リージョン SSL ポリシーで使用可能な機能を一覧表示するには:

gcloud compute ssl-policies list-available-features \
    --region REGION

SSL ポリシーを変更する

コンソール

グローバルまたはリージョンの SSL ポリシーを変更するには、次の操作を行います。

Google Cloud コンソールで、[SSL ポリシー] ページに移動します。

[SSL ポリシー] に移動
変更するポリシーの名前をクリックします。
[編集] をクリックします。
必要な変更を行います。
[保存] をクリックします。

gcloud

既存の SSL ポリシーを変更するには、更新するフィールドに対応するフラグのいずれかまたはすべてを渡します。未指定のフィールドは更新されません。

機能を更新すると、以前有効になっていた機能は削除され、指定した新しい機能に置き換えられます。

グローバル SSL ポリシー

gcloud compute ssl-policies update SSL_POLICY_NAME \
    --profile COMPATIBLE|MODERN|RESTRICTED|CUSTOM \
    --min-tls-version 1.0|1.1|1.2 \
    --custom-features FEATURES

リージョン SSL ポリシー

gcloud compute ssl-policies update SSL_POLICY_NAME \
    --profile COMPATIBLE|MODERN|RESTRICTED|CUSTOM \
    --min-tls-version 1.0|1.1|1.2 \
    [--custom-features FEATURES \]
    --region REGION

SSL ポリシーでターゲットプロキシを作成する

コンソール

次のドキュメントに示すように、ロードバランサの作成または更新時に、Google Cloud コンソールを使用してターゲットプロキシを作成できます。

gcloud

グローバル SSL ポリシーを使用してターゲット SSL プロキシを作成するには:

gcloud compute target-ssl-proxies create TARGET_SSL_PROXY_NAME \
  --backend-service BACKEND_SERVICE_NAME \
  --ssl-certificate SSL_CERTIFICATE_NAME \
  --ssl-policy SSL_POLICY_NAME

グローバル SSL ポリシーを使用してグローバルターゲット HTTPS プロキシを作成するには:

gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
  --ssl-certificate SSL_CERTIFICATE_NAME \
  --url-map URL_MAP_NAME \
  --ssl-policy SSL_POLICY_NAME

リージョン SSL ポリシーを使用してリージョンターゲット HTTPS プロキシを作成するには:

gcloud compute target-https-proxies create REGIONAL_TARGET_HTTPS_PROXY_NAME \
  --ssl-certificates SSL_CERTIFICATE_NAME \
  --url-map URL_MAP_NAME \
  --url-map-region REGION \
  --ssl-policy SSL_POLICY_NAME \
  --region REGION

既存のターゲットプロキシに既存の SSL ポリシーを追加する

コンソール

gcloud

既存の SSL ポリシーを SSL プロキシまたは HTTPS プロキシに追加するには、次のコマンドを使用します。

組織内でターゲット SSL プロキシのあるすべてのプロジェクトを探すには:

gcloud asset search-all-resources \
    --scope=organizations/ORGANIZATION_ID \
    --asset-types=compute.googleapis.com/TargetSslProxy

組織内でターゲット HTTPS プロキシのあるすべてのプロジェクトを探すには:

gcloud asset search-all-resources \
    --scope=organizations/ORGANIZATION_ID \
    --asset-types=compute.googleapis.com/TargetHttpsProxy

プロジェクト内のすべてのグローバルターゲット SSL プロキシを一覧取得するには、targetSslProxies.aggregatedList メソッドを使用します。次に、filter クエリパラメータを使用して、SSL ポリシーを参照していないターゲット SSL プロキシを検索します。
```
curl \
    'https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetSslProxies?filter=sslPolicy%3D%22%22&key=YOUR_API_KEY' \
    --header 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
    --header 'Accept: application/json' \
    --compressed
```
プロジェクト内のすべてのグローバルターゲット HTTPS プロキシとリージョンターゲット HTTPS プロキシを一覧取得するには、includeAllScopes クエリパラメータを true に設定して targetHttpsProxies.aggregatedList メソッドを使用します。次に、filter クエリパラメータを使用して、SSL ポリシーを参照していないターゲット HTTPS プロキシを検索します。
```
curl \
    'https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/targetHttpsProxies?filter=sslPolicy%3D%22%22&includeAllScopes=true&key=YOUR_API_KEY' \
    --header 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
    --header 'Accept: application/json' \
    --compressed
```

既存のグローバル SSL ポリシーをターゲット SSL プロキシに適用するには:

gcloud compute target-ssl-proxies update TARGET_SSL_PROXY_NAME \
    --ssl-policy SSL_POLICY_NAME

既存のグローバル SSL ポリシーをグローバルターゲット HTTPS プロキシに追加するには:
```
gcloud compute target-https-proxies update TARGET_HTTPS_PROXY_NAME \
    --ssl-policy SSL_POLICY_NAME
```

既存のリージョン SSL ポリシーをリージョンターゲット HTTPS プロキシに適用するには:

gcloud compute target-https-proxies update REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --ssl-policy SSL_POLICY_NAME \
    --region REGION

ターゲットプロキシの更新（SSL 証明書の更新など）で --ssl-policy フラグまたは --clear-ssl-policy フラグを指定しないと、SSL ポリシーは変更されません。--clear-ssl-policy フラグについては、ターゲットプロキシから SSL ポリシーを削除するをご覧ください。

API

グローバルターゲットプロキシにグローバル SSL ポリシーを設定するには、targetHttpsProxies.patch メソッドを使用します。

リージョンターゲットプロキシにリージョン SSL ポリシーを設定するには、regionTargetHttpsProxies.patch メソッドを使用します。

ターゲットプロキシから SSL ポリシーを削除する

コンソール

gcloud

次のコマンドを使用して、SSL プロキシまたは HTTPS ロードバランサから SSL ポリシーを削除します。ターゲットプロキシに別の SSL ポリシーが適用されていなければ、ロードバランサはデフォルトの SSL ポリシーを使用します。--clear-ssl-policy フラグを使用すると、SSL ポリシーをデフォルトの SSL ポリシーに置き換えることができます。

ターゲット SSL プロキシからグローバル SSL ポリシーを削除するには:

gcloud compute target-ssl-proxies update TARGET_SSL_PROXY_NAME \
    --clear-ssl-policy

グローバルターゲット HTTPS プロキシからグローバル SSL ポリシーを削除するには:

gcloud compute target-https-proxies update TARGET_HTTPS_PROXY_NAME \
    --clear-ssl-policy

リージョンターゲット HTTPS プロキシからリージョン SSL ポリシーを削除するには:

gcloud compute target-https-proxies update REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --clear-ssl-policy \
    --region REGION

更新コマンドで --clear-ssl-policy フラグを指定すると、SSL ポリシーはプロキシから削除されます。

--clear-ssl-policy フラグや --ssl-policy フラグをターゲットプロキシの更新（SSL 証明書の更新など）で指定しないと、SSL ポリシーは変更されません。--ssl-policy フラグについては、既存の SSL ポリシーを既存のターゲットプロキシに適用するをご覧ください。

ターゲットプロキシに適用されている既存の SSL ポリシーを更新する

カスタム制約を使用して TLS 機能を制限する場合は、ターゲット SSL プロキシとターゲット HTTPS プロキシに適用されている既存の SSL ポリシーで TLS の対応状況を手動で確認します。

セキュリティ目標を満たしていない SSL ポリシーを特定して更新します。リソースを特定して更新するには、Cloud Asset Inventory と Google API Explorer を使用します。

組織内で SSL ポリシーリソースのあるすべてのプロジェクトを探すには:

gcloud asset search-all-resources \
    --scope=organizations/ORGANIZATION_ID \
    --asset-types=compute.googleapis.com/SslPolicy

プロジェクト内のすべてのグローバル SSL ポリシーとリージョン SSL ポリシーを一覧取得するには、includeAllScopes クエリパラメータを true に設定して sslPolicies.aggregatedList メソッドを使用します。次に、filter クエリパラメータを使用して、セキュリティ目標に適切でない SSL ポリシーを検索します。

たとえば、TLS バージョンが 1.2 より小さい SSL ポリシーを探すには、フィルタ minTlsVersion="TLS_1_0" OR minTlsVersion="TLS_1_1" を使用します。
```
curl \

    'https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/sslPolicies?filter=minTlsVersion%3D%22TLS_1_0%22%20OR%20minTlsVersion%3D%22TLS_1_1%22&includeAllScopes=true&key=YOUR_API_KEY' \
    --header 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
    --header 'Accept: application/json' \
    --compressed
```
API キーを取得するには、API キーを使用して認証するをご覧ください。アクセストークンを取得するには、projects.serviceAccounts.generateAccessToken メソッドを使用します。
セキュリティ目標を満たしていないグローバル SSL ポリシーを更新するには:
```
gcloud compute ssl-policies update SSL_POLICY_NAME \
    --min-tls-version=TLS_1_2 \
    --global
```

セキュリティ目標を満たしていないリージョン SSL ポリシーを更新するには:

gcloud compute ssl-policies update SSL_POLICY_NAME \
    --min-tls-version=TLS_1_2 \
    --region=REGION

ターゲット SSL プロキシと HTTPS プロキシについては、既存のターゲットプロキシに既存の SSL ポリシーを追加するをご覧ください。targetSslProxies.list メソッドまたは targetHttpsProxies.aggregatedList メソッドから空のレスポンスが表示されるまで、コマンドを繰り返します。

上限

ロードバランサの割り当てと上限をご覧ください。

API リファレンス

REST API で SSL ポリシーを操作する場合に使用できるプロパティとメソッドについては、以下をご覧ください。

プロダクト	API ドキュメント
グローバル外部アプリケーションロードバランサ従来のアプリケーションロードバランサクロスリージョン内部アプリケーションロードバランサグローバル外部プロキシネットワークロードバランサ従来のプロキシネットワークロードバランサ	sslPolicies
リージョン外部アプリケーションロードバランサリージョン内部アプリケーションロードバランサ	regionSslPolicies

gcloud CLI リファレンス

Google Cloud CLI については、以下をご覧ください。

gcloud compute ssl-policies
- グローバル: --global
- リージョン: --region=[REGION]

次のステップ

SSL ポリシーのコンセプトについては、SSL プロトコルと TLS プロトコルの SSL ポリシーをご覧ください。
外部プロキシネットワークロードバランサの詳細については、外部プロキシネットワークロードバランサの概要をご覧ください。
外部アプリケーションロードバランサの詳細については、外部アプリケーションロードバランサの概要をご覧ください。

SSL プロトコルと TLS プロトコルに SSL ポリシーを使用する

SSL ポリシーを作成する

Google 管理のプロファイルを使用した SSL ポリシーの作成

コンソール

グローバル SSL ポリシー

リージョン SSL ポリシー

gcloud

グローバル SSL ポリシー

リージョン SSL ポリシー

カスタム プロファイルを使用した SSL ポリシーの作成

コンソール

グローバル SSL ポリシー

リージョン SSL ポリシー

gcloud

グローバル SSL ポリシー

リージョン SSL ポリシー

SSL ポリシーの一覧表示

コンソール

gcloud

SSL ポリシーで使用可能な機能の一覧表示

コンソール

gcloud

SSL ポリシーを変更する

コンソール

gcloud

グローバル SSL ポリシー

リージョン SSL ポリシー

SSL ポリシーでターゲット プロキシを作成する

コンソール

gcloud

既存のターゲット プロキシに既存の SSL ポリシーを追加する

コンソール

gcloud

API

ターゲット プロキシから SSL ポリシーを削除する

コンソール

gcloud

ターゲット プロキシに適用されている既存の SSL ポリシーを更新する

上限

API リファレンス

gcloud CLI リファレンス

次のステップ

カスタムプロファイルを使用した SSL ポリシーの作成

SSL ポリシーでターゲットプロキシを作成する

既存のターゲットプロキシに既存の SSL ポリシーを追加する

ターゲットプロキシから SSL ポリシーを削除する

ターゲットプロキシに適用されている既存の SSL ポリシーを更新する