瞭解 API 中的更新行為

API 會自動同步單數和基於陣列的演算法屬性。 在更新您的政策之前，請檢閱下列行為和限制。

IKE 版本相容性

基於陣列的演算法屬性僅支援 IKEv2。 若您使用 IKEv1，則必須透過單數屬性，為每個類別設定單一演算法。

• 使用 IKEv2 與基於陣列的屬性：

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• 在屬性為單數時，請使用 IKEv1：

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 每個類別只支援一種演算法。 使用 IKEv1 的 VPN 連線不支援陣列式 IKE 或 IPsec 演算法屬性。 盡可能使用 IKEv2。

自動同步

當您更新基於陣列的屬性 (authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups) 時，對應的單數屬性 (authentication_algorithm, encryption_algorithm, dh_group, pfs) 也會自動更新。 同樣地，更新單一的屬性會自動更新相關的陣列型屬性。 有關範例，請參閱：

• IKE 策略更新範例
• IPsec 政策更新範例

唯讀指標

當配置了多個演算法時，相關屬性（authentication_algorithm、encryption_algorithm ）會在 API 回應中返回唯讀的指標值。 例如：

• authentication_algorithm returns "multiple"
• encryption_algorithm returns "multiple"
• dh_group returns 65535

這些值只會在回應中傳回，無法在 PATCH 請求中提交。

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

若在基於陣列的屬性中僅配置了一個演算法，則該單一屬性會回傳已配置的值，而非 "multiple"``。

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

財產混合限制

請勿在單一要求中混合同一演算法類別的單一和基於陣列的屬性。 每個請求選擇一種方法。

• 正確範例：此範例包括 IKE 的演算法屬性，其中所有類別都只使用基於陣列的屬性：

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• 不正確的範例：此範例包括 IKE 的演算法屬性，其中單數型和陣列型屬性混用於同一類別：

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM 演算法要求與限制

如果 encryption_algorithms 屬性包含基於 GCM 的演算法 (aes128gcm16, aes192gcm16, 或 aes256gcm16), authentication_algorithms 屬性必須設定為 ["disabled"]。

• 正確範例：當 encryption_algorithms 陣列包含基於 GCM 的演算法時，會顯示 IPsec 演算法的屬性：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• 錯誤範例：顯示 IPsec 的演算法屬性，其中 encryption_algorithms 陣列包含基於 GCM 的演算法：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM 演算法提供加密和內建認證功能，作為單一操作的一部分。 請勿設定獨立的驗證演算法，例如 sha256 或 sha512 與 GCM 加密演算法。

請勿在同一項政策中混合使用「GCM」與非「GCM」的加密演算法。 將它們混合使用可能會導致設定衝突和協商失敗。

: 當 authentication_algorithms 設定為 ["disabled"] 時，若要將加密演算法從 GCM 變更為非 GCM 的加密演算法，您也必須更新 authentication_algorithms。

• 正確範例：同時更新 encryption_algorithms 和 authentication_algorithms 屬性：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• 不正確的範例：顯示只有 encryption_algorithms 屬性會以非 GCM 演算法更新的情況 (aes128, aes192, aes256)：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

演算法驗證規則

確保您請求中的所有演算法值都是有效、唯一且非空的。 只使用支援的演算法名稱，避免重複，並在每個陣列中至少提供一個值。 無效、重複或空的項目會導致驗證錯誤。

• 正確範例：更新演算法值，其中支援的演算法和值用於所有類別：

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• 不正確的範例：更新演算法值，在相同的演算法類別中使用重複的值：

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}