Lorsque vous configurez un listener HTTPS pour Global Accelerator (GA), les stratégies de sécurité TLS déterminent les versions TLS et les suites de chiffrement que GA prend en charge lors de la négociation TLS avec les clients. GA propose plusieurs stratégies par défaut courantes que vous pouvez utiliser. Pour les scénarios nécessitant des exigences de sécurité personnalisées, vous pouvez créer des stratégies de sécurité TLS personnalisées.
Fonctionnement
Vous configurez des stratégies de sécurité TLS pour GA. Ces stratégies définissent les versions TLS et les suites de chiffrement prises en charge par GA lors de la négociation TLS. Pendant l'établissement de la connexion, le client envoie une liste des versions de protocole et des suites de chiffrement prises en charge dans un message Client Hello. Sur la base de la stratégie configurée, GA sélectionne une version de protocole et une suite de chiffrement prises en charge à la fois par le client et par GA. GA répond ensuite par un message Server Hello. Les étapes suivantes, telles que l'échange de clés et la génération de clés de session, se déroulent sur la base de cette sélection.
Stratégies par défaut
Différentes normes de sécurité de l'information peuvent imposer des exigences concernant les stratégies de sécurité TLS de GA. Développez le tableau suivant pour consulter les versions TLS et les suites de chiffrement prises en charge par les stratégies par défaut. Sélectionnez une stratégie selon vos besoins. Si les stratégies par défaut ne répondent pas à vos exigences, créez des stratégies personnalisées.
Accédez à la page TLS security policies dans la console GA. Dans l'onglet System Default Policy, consultez les détails de la politique.
Pour les applications orientées vers Internet qui n'ont pas d'exigences particulières en matière de compatibilité, nous vous recommandons d'utiliser la politique tls_cipher_policy_1_2 ou une politique offrant un niveau de sécurité supérieur.
Politiques personnalisées
Si les politiques par défaut ne répondent pas à vos exigences de sécurité ou de conformité, par exemple en prenant en charge uniquement des versions TLS spécifiques ou en désactivant certaines suites de chiffrement, vous pouvez créer des politiques de sécurité TLS personnalisées.
Pour configurer des politiques de sécurité TLS personnalisées, contactez votre gestionnaire de compte afin de demander l'accès.
Créer des politiques personnalisées
Accédez à la page TLS security policies dans la console GA et cliquez sur Create Custom Policy. Configurez les paramètres décrits dans la liste suivante. Une fois la configuration terminée, cliquez sur OK.
Security Policy Name : nom de la politique personnalisée.
Minimum Version : si votre activité n'a pas d'exigences de compatibilité particulières, nous vous recommandons de sélectionner TLS 1.2 or higher pour garantir la sécurité.
Enable TLS 1.3 : afin d'assurer la sécurité et l'efficacité des communications réseau, nous vous recommandons d'activer cette fonctionnalité si elle est compatible avec votre activité.
Cipher Suites : sélectionnez les suites de chiffrement requises et déplacez-les vers la zone de sélection à droite. Notez que les suites de chiffrement sélectionnées doivent être compatibles avec la version TLS choisie.
Vous pouvez créer un maximum de 50 politiques de sécurité TLS personnalisées par compte.
Mettre à jour les versions TLS et les suites de chiffrement des politiques personnalisées
Accédez à la page TLS security policies dans la console GA. Dans la colonne Actions de la politique personnalisée cible, cliquez sur Edit. Dans la boîte de dialogue Edit Custom Policy qui s'affiche, mettez à jour la version TLS et la suite de chiffrement.
Supprimer des politiques personnalisées
Si une politique personnalisée est utilisée par un écouteur, vous devez modifier la politique de sécurité TLS de l'écouteur ou supprimer l'écouteur avant de pouvoir supprimer la politique personnalisée.
Accédez à la page TLS security policies dans la console GA. Dans la colonne Actions de la politique personnalisée cible, cliquez sur Delete puis sur OK.
Configurer les politiques de sécurité TLS pour les écouteurs
-
Lorsque vous ajoutez un écouteur HTTPS, sélectionnez une politique par défaut du système ou une politique personnalisée pour le paramètre TLS Security Policies sur la page de configuration de l'écouteur. La méthode de configuration reste identique, que vous créiez une instance GA moyenne en paiement à l'utilisation à l'aide de l'assistant de configuration ou que vous ajoutiez un écouteur séparément.
Seules les instances GA standard en paiement à l'utilisation prennent en charge les politiques de sécurité TLS personnalisées.
Si la Maximum HTTP Version d'un écouteur est définie sur HTTP/3 , les politiques de sécurité TLS personnalisées ne sont pas prises en charge.
Pour modifier une politique de sécurité TLS, accédez à la page Instance List dans la console GA et cliquez sur l'ID de l'instance cible. Dans l'onglet Listeners, cliquez sur l'ID de l'écouteur HTTPS cible pour accéder à la page Listener Details. Dans la section SSL Certificate, modifiez le paramètre TLS Security Policies.
Facturation
Les politiques de sécurité TLS sont gratuites. Toutefois, des frais s'appliquent aux instances GA et aux certificats de serveur.