Översikt över TLS-princip för Application Gateway för containrar

Du kan använda Azure Application Gateway för containrar för att styra TLS-chiffer för att uppfylla organisationens efterlevnads- och säkerhetsmål.

TLS-principen innehåller definitionen av TLS-protokollversionen, chiffersviter och i vilken ordning chiffer föredras under en TLS-handskakning. Application Gateway för containrar erbjuder för närvarande två fördefinierade principer att välja mellan.

Information om användning och version

• Med en anpassad TLS-princip kan du konfigurera lägsta protokollversion, chiffer och elliptiska kurvor för din gateway.
• Om ingen TLS-princip har definierats används en standardprincip för TLS.
• TLS-chiffersviter som används för anslutningen baseras också på vilken typ av certifikat som används. Chiffersviterna som förhandlas mellan klienten och Application Gateway för containrar baseras på gatewaylyssningskonfigurationen enligt definitionen i YAML. Chiffersviterna som används för att upprätta anslutningar mellan Application Gateway för containrar och serverdelsmålet baseras på vilken typ av servercertifikat som visas av serverdelsmålet.

Fördefinierad TLS-princip

Application Gateway för containrar erbjuder två fördefinierade säkerhetsprinciper. Du kan välja någon av dessa principer för att uppnå rätt säkerhetsnivå. Principnamn definieras efter år och månad (ÅÅÅÅ-MM) för introduktion. Dessutom kan det finnas en -S-variant som anger en striktare variant av chiffer som kan förhandlas fram. Varje princip erbjuder olika TLS-protokollversioner och chiffersviter. Dessa fördefinierade principer har konfigurerats med tanke på bästa praxis och rekommendationer från Microsoft Security-teamet. Vi rekommenderar att du använder de senaste TLS-principerna för att säkerställa bästa TLS-säkerhet.

I följande tabell visas listan över chiffersviter och lägsta protokollversionsstöd för varje fördefinierad princip. Ordningen på chiffersviterna avgör prioritetsordningen under TLS-förhandlingen. Att känna till den exakta ordningen på chiffersviterna för dessa fördefinierade principer.

Protokollversioner, chiffer och elliptiska kurvor som inte anges i tabellen ovan stöds inte och kommer inte att förhandlas.

Standardprincip för TLS

När ingen TLS-princip anges i Kubernetes-konfigurationen tillämpas fördefinierade princip 2023-06 .

Så här konfigurerar du en TLS-princip

kubectl apply -f - <<EOF
apiVersion: alb.networking.azure.io/v1
kind: FrontendTLSPolicy
metadata:
  name: policy-default
  namespace: test-infra
spec:
  targetRef:
    kind: Gateway
    name: target-01
    namespace: test-infra
    sectionNames:
    - https-listener
    group : gateway.networking.k8s.io
  default:
    policyType:
      type: predefined
      name: 2023-06-S
EOF