API의 업데이트 동작 이해

API는 단수 및 배열 기반 알고리즘 속성을 자동으로 동기화합니다. 정책을 업데이트하기 전에 다음 행동 및 제한 사항을 검토하세요.

IKE 버전 호환성

배열 기반 알고리즘 속성은 IKEv2 에서만 지원됩니다. IKEv1 를 사용하는 경우, 각 카테고리에 대해 단일 속성을 사용하여 하나의 알고리즘을 구성해야 합니다.

• 배열 기반 속성과 함께 IKEv2 을 사용합니다:

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• IKEv1 를 단수 속성과 함께 사용하세요:

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 는 카테고리당 하나의 알고리즘만 지원합니다. IKEv1 을 사용하는 VPN 연결은 배열 기반 IKE 또는 IPsec 알고리즘 속성을 지원하지 않습니다. 가능하면 IKEv2 을 사용하세요.

자동 동기화

배열 기반 속성(authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups)을 업데이트하면 해당 단수 속성(authentication_algorithm, encryption_algorithm, dh_group, pfs)이 자동으로 업데이트됩니다. 마찬가지로 단일 프로퍼티를 업데이트하면 관련 배열 기반 프로퍼티가 자동으로 업데이트됩니다. 예시는 다음을 참조하세요:

• IKE 정책 업데이트 예제
• IPsec 정책 업데이트 예시

읽기 전용 표시기

여러 알고리즘이 구성되어 있는 경우, 단일 속성(authentication_algorithm, encryption_algorithm)은 API 응답에서 읽기 전용 지표 값을 반환합니다. 예를 들어, 다음과 같습니다.

• authentication_algorithm 리턴 "multiple"
• encryption_algorithm 리턴 "multiple"
• dh_group 리턴 65535

이러한 값은 응답으로만 반환되며 PATCH 요청에는 제출할 수 없습니다.

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

배열 기반 속성에 알고리즘이 하나만 구성되어 있는 경우, 해당 단일 속성은 "multiple"`` 대신 구성된 값을 반환합니다.

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

속성 혼합 제한

단일 요청에서 동일한 알고리즘 카테고리에 대해 단수 및 배열 기반 속성을 혼합하지 마세요. 요청당 하나의 접근 방식을 선택하세요.

• 올바른 예입니다: 이 예에는 모든 카테고리에 배열 기반 속성만 사용되는 IKE의 알고리즘 속성이 포함되어 있습니다:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• 잘못된 예입니다: 이 예에는 동일한 카테고리에 대해 단수 및 배열 기반 속성이 모두 혼합되어 있는 IKE의 알고리즘 속성이 포함되어 있습니다:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM 알고리즘 요구 사항 및 제한 사항

encryption_algorithms 속성에 GCM 기반 알고리즘(aes128gcm16, aes192gcm16 또는 aes256gcm16)이 포함된 경우 authentication_algorithms 속성을 ["disabled"] 으로 설정해야 합니다.

• 올바른 예: encryption_algorithms 배열에 GCM 기반 알고리즘이 포함된 경우 IPsec 알고리즘 속성을 표시합니다:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• 잘못된 예시: IPsec의 알고리즘 속성을 표시할 때, encryption_algorithms 배열에 GCM 기반 알고리즘이 포함된 경우:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM 알고리즘은 단일 작업의 일부로 암호화와 기본 제공 인증을 제공합니다. sha256 또는 sha512 같은 별도의 인증 알고리즘을 GCM 암호화 알고리즘으로 구성하지 마세요.

동일한 정책 내에서 ‘ GCM ’ 암호화 알고리즘과 ‘non- GCM ’ 암호화 알고리즘을 혼합하여 사용해서는 안 됩니다. 이들을 혼합하면 구성 충돌이 발생하거나 협상 실패로 이어질 수 있습니다.

: authentication_algorithms 가 ["disabled"] 로 설정된 경우, GCM 에서 GCM 가 아닌 암호화 알고리즘으로 변경할 때는 authentication_algorithms 도 함께 업데이트해야 합니다.

• 올바른 예입니다: encryption_algorithms 및 authentication_algorithms 속성을 모두 업데이트합니다:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• 잘못된 예제입니다: GCM 이외의 알고리즘(aes128, aes192, aes256)으로 encryption_algorithms 속성만 업데이트되는 경우를 표시합니다:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

알고리즘 유효성 검사 규칙

요청에 포함된 모든 알고리즘 값이 유효하고 고유하며 비어 있지 않은지 확인합니다. 지원되는 알고리즘 이름만 사용하고, 중복을 피하고, 각 배열에 하나 이상의 값을 제공하세요. 유효하지 않거나 중복되거나 비어 있는 항목은 유효성 검사 오류가 발생할 수 있습니다.

• 올바른 예제입니다: 모든 카테고리에 지원되는 알고리즘과 값이 사용되는 알고리즘 값을 업데이트합니다:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• 잘못된 예제입니다: 동일한 알고리즘 카테고리에서 중복된 값이 사용되는 알고리즘 값을 업데이트합니다:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}