Comprendre le comportement des mises à jour dans l'API

L'API synchronise automatiquement les propriétés des algorithmes singuliers et des algorithmes basés sur des tableaux. Examinez les comportements et les restrictions suivants avant de mettre à jour vos politiques.

Compatibilité des versions IKE

Les propriétés des algorithmes basés sur des tableaux ne sont prises en charge qu'à l'adresse IKEv2. Si vous utilisez IKEv1, vous devez configurer un algorithme unique pour chaque catégorie à l'aide de propriétés singulières.

• Utilisez IKEv2 avec les propriétés basées sur des tableaux :

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• Utilisez « IKEv1 » avec des propriétés au singulier :

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 ne prend en charge qu'un seul algorithme par catégorie. Les connexions VPN qui utilisent IKEv1 ne prennent pas en charge les propriétés des algorithmes IKE ou IPsec basées sur des tableaux. Utilisez IKEv2 dans la mesure du possible.

Synchronisation automatique

Lorsque vous mettez à jour les propriétés basées sur un tableau (authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups), les propriétés singulières correspondantes (authentication_algorithm, encryption_algorithm, dh_group, pfs) sont mises à jour automatiquement. De même, la mise à jour des propriétés singulières met automatiquement à jour les propriétés connexes basées sur des tableaux. Pour des exemples, voir :

• Exemples de mise à jour de la politique IKE
• Exemples de mise à jour de la politique IPsec

Indicateurs en lecture seule

Lorsque plusieurs algorithmes sont configurés, les propriétés spécifiques (authentication_algorithm, encryption_algorithm) renvoient des valeurs d'indicateur en lecture seule dans les réponses de l'API. Exemple :

• authentication_algorithm retourne "multiple"
• encryption_algorithm retourne "multiple"
• dh_group retourne 65535

Ces valeurs ne sont renvoyées que dans les réponses et ne peuvent pas être soumises dans une demande PATCH.

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

Si un seul algorithme est configuré dans une propriété basée sur un tableau, la propriété singulière renvoie la valeur configurée au lieu de "multiple".

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

Restriction du mélange des propriétés

Ne pas mélanger dans une même demande des propriétés singulières et des propriétés basées sur des tableaux pour la même catégorie d'algorithme. Choisissez une approche par demande.

• Exemple correct : Cet exemple inclut les propriétés de l'algorithme pour IKE, où seules les propriétés basées sur des tableaux sont utilisées pour toutes les catégories :

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• Exemple incorrect : Cet exemple inclut les propriétés de l'algorithme pour IKE, où les propriétés singulières et les propriétés basées sur des tableaux sont mélangées pour la même catégorie :

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM exigences et restrictions relatives aux algorithmes

Si la propriété encryption_algorithms contient des algorithmes basés sur GCM (aes128gcm16, aes192gcm16 ou aes256gcm16), la propriété authentication_algorithms doit être définie sur ["disabled"].

• Exemple correct : affiche les propriétés des algorithmes IPsec lorsque le tableau « encryption_algorithms » (Algorithmes de chiffrement) comprend des algorithmes basés sur « GCM » :

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Exemple incorrect : affiche les propriétés de l'algorithme pour IPsec alors que le tableau « encryption_algorithms » ( ) comprend des algorithmes basés sur « GCM » :

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM permettent le chiffrement et l'authentification intégrée dans le cadre d'une seule opération. Ne configurez pas d'algorithmes d'authentification distincts tels que sha256 ou sha512 avec des algorithmes de cryptage GCM.

Ne mélangez pas les algorithmes de chiffrement « GCM » et « non- GCM » dans une même politique. Leur combinaison peut entraîner des conflits de configuration et des échecs de négociation.

: Lorsque le paramètre « authentication_algorithms » est défini sur « ["disabled"] », vous devez également mettre à jour le paramètre « authentication_algorithms » si vous passez d'un algorithme de chiffrement « GCM » à un algorithme autre que « GCM ».

• Exemple correct : Mise à jour des propriétés encryption_algorithms et authentication_algorithms:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Exemple incorrect : Montre un cas où seule la propriété encryption_algorithms est mise à jour avec des algorithmes non GCM (aes128, aes192, aes256):

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

Règles de validation des algorithmes

Assurez-vous que toutes les valeurs d'algorithme de votre demande sont valides, uniques et non vides. N'utilisez que des noms d'algorithmes supportés, évitez les doublons et fournissez au moins une valeur dans chaque tableau. Les entrées non valides, en double ou vides peuvent entraîner une erreur de validation.

• Exemple correct : Met à jour les valeurs des algorithmes, lorsque les algorithmes et valeurs pris en charge sont utilisés pour toutes les catégories :

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• Exemple incorrect : Met à jour les valeurs de l'algorithme, lorsque des valeurs en double sont utilisées dans la même catégorie d'algorithme :

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}