APIの更新動作を理解する

APIは、単数および配列ベースのアルゴリズム・プロパティを自動的に同期する。 ポリシーを更新する前に、以下の動作と制限を確認してください。

IKEバージョンの互換性

配列ベースのアルゴリズム・プロパティは、 IKEv2 でのみサポートされています。 IKEv1 を使用する場合は、各カテゴリごとに単数形のプロパティを使用して、単一のアルゴリズムを設定する必要があります。

• 配列ベースのプロパティで IKEv2 を使用します：

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• IKEv1 を単数形のプロパティで使用します：

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 は、1つのカテゴリーにつき1つのアルゴリズムしかサポートしていない。 IKEv1 を使用する VPN 接続は、配列ベースの IKE や IPsec アルゴリズムのプロパティをサポートしない。 可能な限り IKEv2。

自動同期

配列ベースのプ ロパテ ィ （authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups ） を更新す る と、 対応す る 単数プ ロパテ ィ （authentication_algorithm, encryption_algorithm, dh_group, pfs ） も 自動的に更新 さ れます。 同様に、単数のプロパティを更新すると、関連する配列ベースのプロパティが自動的に更新される。 例としては、以下を参照：

• IKEポリシー更新の例
• IPsecポリシーの更新例

読み取り専用インジケーター

複数のアルゴリズムが設定されている場合、特異なプロパティ（authentication_algorithm、 encryption_algorithm ）は、APIレスポンス内で読み取り専用のインジケーター値を返します。 以下に例を示します。

• authentication_algorithm 戻り値 "multiple"
• encryption_algorithm 戻り値 "multiple"
• dh_group 戻り値 65535

これらの値はレスポンスでのみ返され、 PATCH リクエストでは送信できない。

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

配列ベースのプロパティにアルゴリズムが1つだけ設定されている場合、singularプロパティは "multiple" ではなく、設定された値を返します。

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

物件混合制限

同じアルゴリズムカテゴリの単数プロパティと配列ベースのプロパティを、1つのリクエストで混在させないでください。 1つのリクエストにつき1つのアプローチを選択してください。

• 正しい例：この例にはIKEのアルゴリズム・プロパティが含まれており、すべてのカテゴリに配列ベースのプロパティのみが使用されている：

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• 誤った例：この例には、IKEのアルゴリズム・プロパティが含まれており、同じカテゴリに単数ベースと配列ベースの両方のプロパティが混在している：

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM アルゴリズムの要件と制限

encryption_algorithms プロパティに GCM ベースのアルゴリズム（aes128gcm16、 aes192gcm16、 aes256gcm16 ）が含まれている場合、 authentication_algorithms プロパティは ["disabled"] に設定する必要があります。

• 正しい例： encryption_algorithms 配列に GCM ベースのアルゴリズムが含まれている場合、IPsecアルゴリズムのプロパティが表示されます：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• 誤った例：IPsec のアルゴリズムプロパティが表示されており、 encryption_algorithms 配列に GCM ベースのアルゴリズムが含まれている場合：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM アルゴリズムは、暗号化とビルトイン認証を単一の操作の一部として提供する。 sha256 、 sha512 と GCM 暗号化アルゴリズムなど、別々の認証アルゴリズムを設定しないでください。

GCM と GCM 以外の暗号化アルゴリズムを、同じポリシー内で混在させないでください。 これらを混在させると、設定の競合やネゴシエーションの失敗を引き起こす可能性があります。

: authentication_algorithms が ["disabled"]`` に設定されている場合、 GCM から GCM 以外の暗号化アルゴリズムに変更する際は、 authentication_algorithms も更新する必要があります。

• 正しい例 encryption_algorithms と authentication_algorithms の両方のプロパティを更新する：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• 誤った例： GCM 以外のアルゴリズム (aes128, aes192, aes256) で encryption_algorithms プロパティのみが更新される場合を示す：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

アルゴリズム検証ルール

リクエストのすべてのアルゴリズム値が有効で、一意で、空でないことを確認してください。 サポートされているアルゴリズム名のみを使用し、重複を避け、各配列に少なくとも1つの値を指定する。 無効な入力、重複した入力、空の入力はバリデーションエラーとなります。

• 正しい例：アルゴリズム値を更新し、サポートされているアルゴリズムと値がすべてのカテゴリーで使用される：

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• 誤った例：同じアルゴリズムカテゴリで重複した値が使用されている場合、アルゴリズム値を更新します：

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}