注意VPN ゲートウェイ IKE および IPsec ポリシー API の変更について

2026年5月29日、VPCサービスにおいて、VPNゲートウェイのIKEおよびIPsecポリシーに複数のアルゴリズムをサポートする機能が追加された。 この機能は、関連するAPIの動作を変更するため、これらのポリシーのプロビジョニングまたは管理に自動化を使用しているお客様は、リリースが一般的に利用可能になる前に、必要な修正アクションを完了する必要があります。

すでに必要な是正措置を完了している場合は、これ以上の処置は必要ありません。

何を変えるのか？

  • 以下の単一値プロパティは非推奨であるが、後方互換性のために引き続きサポートされる：

    • IKEポリシーの場合： authentication_algorithm dh_group、 encryption_algorithm は非推奨で、 authentication_algorithms、 dh_groups、 encryption_algorithms の配列が推奨される。
    • IPsecポリシーの場合： authentication_algorithm encryption_algorithm、 pfs は非推奨で、 authentication_algorithms、 encryption_algorithms、 pfs_groups の配列が推奨される。

  • APIレスポンスには、非推奨のプロパティと新しい配列プロパティの両方が常に含まれます。

  • 配列ベースのプロパティに複数のアルゴリズムが設定されている場合、非推奨のプロパティはセンチネル値を返します：

    • "multiple" 文字列プロパティの場合 (authentication_algorithm, encryption_algorithm, pfs)
    • 65535 整数 dh_group プロパティ

  • PATCH操作(IKEポリシーとIPsecポリシーの両方)は、標準のJSONマージパッチ(RFC 7396)のセマンティクスから逸脱する：

    • 非推奨の単一値プロパティを更新すると、対応する配列プロパティが自動的に更新されます。

    以下に例を示します。

    • とのPATCHリクエスト：

      {"encryption_algorithm": "aes256"}

      ウィル・セット

      "encryption_algorithms": ["aes256"]

    • とのPATCHリクエスト：

      {"encryption_algorithms": ["aes256", "aes128"]}

      ウィル・セット

      "encryption_algorithm": "multiple"

この変更を行う理由

VPNゲートウェイが暗号アルゴリズムの優先順位付けされたリスト上でネゴシエーションを行えるようにすることで、セキュリティと柔軟性が向上する。 これにより、多様なオンプレミスVPNデバイスとの相互運用性が強化され、強固なセキュリティ体制を維持しながらフォールバック・アルゴリズムの設定が可能になる。

後方互換性を維持するため、非推奨のプロパティは引き続きサポートされる。

この変更の影響を受けるのは誰か？

IKEまたはIPsecポリシーを取得、検証、または更新するクライアントコードまたは自動化機能を持つアカウント、特に影響を受ける：

  • センチネル値を考慮せずに、非推奨の単一値プロパティを解析または検証するコード
  • PATCH操作の標準的な JSON Merge Patch（RFC 7396）のセマンティクスに依存するコード

混乱を避けるために、どのような行動を取ることができるか？

プロパティ値の拡張 ガイダンスで文書化されているように、 API のベストプラクティスに従って、クライアントコードまたはオートメーションが、新しいセンチネル値 multiple および 65535 を考慮しながら、非推奨プロパティ値を処理するようにしてください。

  • IKEポリシーの場合：

    • authentication_algorithm と encryption_algorithm を返すことができる。 multiple
    • dh_group 返すことができる 65535

  • IPsecポリシーの場合：

    • authentication_algorithm encryption_algorithm および は、以下を返すことができる。 pfs multiple

  • 非推奨プロパティは、1つのアルゴリズムのみが使用されている場合、既存の（センチネルでない）値を返し続ける。

IKEv1 ポリシーでは、複数のアルゴリズムはサポートされていません。 IKEv1 ポリシーは、カテゴリーごとに単一のアルゴリズムに制限されたままである。

あなたまたはあなたのアカウント他のユーザーが現在IKEまたはIPsecポリシーを使用している場合、以下のタスクを完了します：

  • IKE または IPsec ポリシーを取得し、以下の単一値のプロパティを処理するコードまたは自動化を確認します：

    • IKEのポリシー：
      • authentication_algorithm
      • dh_group
      • encryption_algorithm
    • IPsec ポリシー：
      • authentication_algorithm
      • encryption_algorithm
      • pfs

  • APIのベストプラクティスに 従うように検証ロジックを更新する。