Kebijakan keamanan TLS - Global Accelerator - Alibaba Cloud Documentation Center

Saat mengonfigurasi pendengar HTTPS untuk Global Accelerator (GA), kebijakan keamanan TLS menentukan versi TLS dan paket sandi yang didukung GA selama negosiasi TLS dengan klien. GA menyediakan beberapa kebijakan default yang dapat Anda gunakan. Untuk skenario dengan persyaratan keamanan khusus, Anda dapat membuat kebijakan keamanan TLS kustom.

Cara kerja

Anda mengonfigurasi kebijakan keamanan TLS untuk GA. Kebijakan ini menentukan versi TLS dan paket sandi yang didukung GA selama negosiasi TLS. Selama handshake, klien mengirim daftar versi protokol dan paket sandi yang didukung dalam pesan Client Hello. Berdasarkan kebijakan yang dikonfigurasi, GA memilih versi protokol dan paket sandi yang didukung oleh klien maupun GA, lalu merespons dengan pesan Server Hello. Langkah-langkah berikutnya, seperti pertukaran kunci dan pembuatan kunci sesi, dilanjutkan berdasarkan pilihan tersebut.

Kebijakan default

Berbagai standar keamanan informasi mungkin memberlakukan persyaratan terhadap kebijakan keamanan TLS GA. Perluas tabel berikut untuk melihat versi TLS dan paket sandi yang didukung oleh kebijakan default. Anda dapat memilih kebijakan sesuai kebutuhan. Jika kebijakan default tidak memenuhi persyaratan Anda, Anda dapat membuat kebijakan kustom.

Detail kebijakan

Nama Kebijakan		tls_cipher_policy_1_0	tls_cipher_policy_1_1	tls_cipher_policy_1_2	tls_cipher_policy_1_2_strict	tls_cipher_policy_1_2_strict_with_1_3
Versi TLS	v1.0	Didukung	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung
	v1.1	Didukung	Didukung	Tidak didukung	Tidak didukung	Tidak didukung
	v1.2	Didukung	Didukung	Didukung	Didukung	Didukung
	v1.3	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
Paket sandi	ECDHE-RSA-AES128-GCM-SHA256	Didukung	Didukung	Didukung	Didukung	Didukung
	ECDHE-RSA-AES256-GCM-SHA384	Didukung	Didukung	Didukung	Didukung	Didukung
	ECDHE-RSA-AES128-SHA256	Didukung	Didukung	Didukung	Didukung	Didukung
	ECDHE-RSA-AES256-SHA384	Didukung	Didukung	Didukung	Didukung	Didukung
	AES128-GCM-SHA256	Didukung	Didukung	Didukung	Tidak didukung	Tidak didukung
	AES256-GCM-SHA384	Didukung	Didukung	Didukung	Tidak didukung	Tidak didukung
	AES128-SHA256	Didukung	Didukung	Didukung	Tidak didukung	Tidak didukung
	AES256-SHA256	Didukung	Didukung	Didukung	Tidak didukung	Tidak didukung
	ECDHE-RSA-AES128-SHA	Didukung	Didukung	Didukung	Didukung	Didukung
	ECDHE-RSA-AES256-SHA	Didukung	Didukung	Didukung	Didukung	Didukung
	AES128-SHA	Didukung	Didukung	Didukung	Tidak didukung	Tidak didukung
	AES256-SHA	Didukung	Didukung	Didukung	Tidak didukung	Tidak didukung
	DES-CBC3-SHA	Didukung	Didukung	Didukung	Tidak didukung	Tidak didukung
	TLS_AES_128_GCM_SHA256	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	TLS_AES_256_GCM_SHA384	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	TLS_CHACHA20_POLY1305_SHA256	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	TLS_AES_128_CCM_SHA256	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	TLS_AES_128_CCM_8_SHA256	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	ECDHE-ECDSA-AES128-GCM-SHA256	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	ECDHE-ECDSA-AES256-GCM-SHA384	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	ECDHE-ECDSA-AES128-SHA256	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	ECDHE-ECDSA-AES256-SHA384	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	ECDHE-ECDSA-AES128-SHA	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung
	ECDHE-ECDSA-AES256-SHA	Tidak didukung	Tidak didukung	Tidak didukung	Tidak didukung	Didukung

Buka halaman Kebijakan keamanan TLS di Konsol GA. Pada tab System Default Policy, Anda dapat melihat detail kebijakan.

Untuk aplikasi publik yang tidak memiliki persyaratan kompatibilitas khusus, kami merekomendasikan penggunaan kebijakan tls_cipher_policy_1_2 atau kebijakan dengan tingkat keamanan yang lebih tinggi.

Kebijakan kustom

Jika kebijakan default tidak memenuhi persyaratan keamanan atau kepatuhan Anda—misalnya, hanya mendukung versi TLS tertentu atau menonaktifkan paket sandi tertentu—Anda dapat membuat kebijakan keamanan TLS kustom.

Untuk mengonfigurasi kebijakan keamanan TLS kustom, hubungi manajer akun Anda untuk mengajukan permohonan akses.

Buat kebijakan kustom

Buka halaman Kebijakan keamanan TLS di Konsol GA dan klik Create Custom Policy. Konfigurasikan parameter yang dijelaskan dalam daftar berikut, lalu klik OK.

Security Policy Name: Nama kebijakan kustom.
Minimum Version: Jika bisnis Anda tidak memiliki persyaratan kompatibilitas khusus, kami merekomendasikan memilih TLS 1.2 or higher untuk memastikan keamanan.
Enable TLS 1.3: Untuk memastikan keamanan dan efisiensi komunikasi jaringan, kami merekomendasikan mengaktifkan fitur ini jika kompatibel dengan bisnis Anda.
Cipher Suites: Pilih paket sandi yang diperlukan dan pindahkan ke kotak pilihan di sebelah kanan. Pastikan paket sandi yang dipilih kompatibel dengan versi TLS yang dipilih.

Anda dapat membuat maksimal 50 kebijakan keamanan TLS kustom untuk setiap akun.

Perbarui versi TLS dan paket sandi kebijakan kustom

Buka halaman TLS security policies di Konsol GA. Pada kolom Actions dari kebijakan kustom target, klik Edit. Pada kotak dialog Edit Custom Policy yang muncul, perbarui Versi TLS dan paket sandi.

Hapus kebijakan kustom

Jika kebijakan kustom digunakan oleh pendengar, Anda harus mengubah kebijakan keamanan TLS pendengar tersebut atau menghapus pendengarnya terlebih dahulu sebelum dapat menghapus kebijakan kustom.

Buka halaman Kebijakan keamanan TLS di Konsol GA. Di kolom Actions pada kebijakan kustom target, klik Delete, lalu klik OK.

Konfigurasi kebijakan keamanan TLS untuk pendengar

Saat menambahkan HTTPS listener, pilih kebijakan default sistem atau kebijakan kustom untuk parameter TLS Security Policies pada halaman konfigurasi pendengar. Metode konfigurasi sama baik saat Anda membuat instans GA pay-as-you-go medium menggunakan wizard konfigurasi maupun saat menambahkan pendengar secara terpisah.

Hanya instans GA pay-as-you-go standar yang mendukung kebijakan keamanan TLS kustom.

Jika Maximum HTTP Version pendengar diatur ke HTTP/3, kebijakan keamanan TLS kustom tidak didukung.
Untuk memodifikasi kebijakan keamanan TLS, buka halaman Instance List di Konsol GA dan klik ID instans target. Pada tab Listeners, klik ID pendengar HTTPS target untuk membuka halaman Listener Details. Di bagian SSL Certificate, ubah nilai TLS Security Policies.

Penagihan

Kebijakan keamanan TLS tidak dikenai biaya. Namun, Anda akan dikenai biaya untuk instans GA dan sertifikat server.