Al configurar un listener HTTPS para Global Accelerator (GA), las directivas de seguridad TLS determinan las versiones de TLS y las suites de cifrado que GA admite durante la negociación TLS con los clientes. GA proporciona varias directivas predeterminadas comunes que puede utilizar. Para escenarios con requisitos de seguridad personalizados, cree directivas de seguridad TLS personalizadas.
Funcionamiento
Las directivas de seguridad TLS se configuran en GA. Estas directivas definen las versiones de TLS y las suites de cifrado que GA admite durante la negociación TLS. Durante el handshake, el cliente envía una lista de versiones de protocolo y suites de cifrado compatibles en un mensaje Client Hello. Según la directiva configurada, GA selecciona una versión de protocolo y una suite de cifrado compatibles tanto con el cliente como con GA. Posteriormente, GA responde con un mensaje Server Hello. Los pasos siguientes, como el intercambio de claves y la generación de claves de sesión, continúan según esta selección.
Directivas predeterminadas
Diversos estándares de seguridad de la información pueden imponer requisitos sobre las directivas de seguridad TLS de GA. Expanda la siguiente tabla para consultar las versiones de TLS y las suites de cifrado compatibles con las directivas predeterminadas. Seleccione una directiva según sus necesidades. Si las directivas predeterminadas no cumplen con sus requisitos, cree custom policies.
Vaya a la página TLS security policies en la consola de GA. En la pestaña System Default Policy, consulte los detalles de la directiva.
Para aplicaciones públicas sin requisitos especiales de compatibilidad, se recomienda utilizar la directiva tls_cipher_policy_1_2 o una directiva con un nivel de seguridad superior.
Directivas personalizadas
Si las directivas predeterminadas no cumplen con sus requisitos de seguridad o cumplimiento normativo, como admitir solo versiones específicas de TLS o deshabilitar ciertas suites de cifrado, cree directivas de seguridad TLS personalizadas.
Para configurar directivas de seguridad TLS personalizadas, contacte a su gerente de cuenta y solicite acceso.
Crear directivas personalizadas
Vaya a la página TLS security policies en la consola de GA y haga clic en Create Custom Policy. Configure los parámetros descritos en la siguiente lista. Una vez completada la configuración, haga clic en OK.
Security Policy Name: Nombre de la directiva personalizada.
Minimum Version: Si su negocio no tiene requisitos especiales de compatibilidad, seleccione TLS 1.2 or higher para garantizar la seguridad.
Enable TLS 1.3: Para asegurar la seguridad y eficiencia de la comunicación de red, habilite esta función si es compatible con su negocio.
Cipher Suites: Seleccione las suites de cifrado necesarias y muévalas al cuadro de selección de la derecha. Tenga en cuenta que las suites de cifrado seleccionadas deben ser compatibles con la versión de TLS elegida.
Se pueden crear hasta 50 directivas de seguridad TLS personalizadas por cuenta.
Actualizar versiones de TLS y suites de cifrado de una directiva personalizada
Vaya a la página TLS security policies en la consola de GA. En la columna Actions de la directiva personalizada objetivo, haga clic en Edit. En el cuadro de diálogo Edit Custom Policy que aparece, actualice la versión de TLS y la suite de cifrado.
Eliminar directivas personalizadas
Si un listener utiliza una directiva personalizada, modifique la directiva de seguridad TLS del listener o elimine el listener antes de eliminar la directiva personalizada.
Vaya a la página TLS security policies en la consola de GA. En la columna Actions de la directiva personalizada objetivo, haga clic en Delete y luego en OK.
Configurar directivas de seguridad TLS para listeners
-
Al agregar un listener HTTPS, seleccione una directiva predeterminada del sistema o una directiva personalizada para el parámetro TLS Security Policies en la página de configuración del listener. El método de configuración es el mismo, ya sea que creating a medium pay-as-you-go GA instance mediante el asistente de configuración o adding a listener separately.
Solo las instancias GA estándar pay-as-you-go admiten directivas de seguridad TLS personalizadas.
Si la Maximum HTTP Version de un listener está establecida en HTTP/3 , no se admiten directivas de seguridad TLS personalizadas.
Para modificar una directiva de seguridad TLS, vaya a la página Instance List en la consola de GA y haga clic en el ID de la instancia objetivo. En la pestaña Listeners, haga clic en el ID del listener HTTPS objetivo para ir a la página Listener Details. En la sección SSL Certificate, modifique las TLS Security Policies.
Facturación
Las directivas de seguridad TLS son gratuitas. Sin embargo, se aplican cargos por GA instances y server certificates.