Calendar参戦です。GMOアドマーケティングのmizkichです。Balancer)に対して脆弱性のあるSSL/TLSを無効化する方法」について紹介します。KubernetesにはSSLを実装する方法が複数存在しますが、今回はingress-gceでの設定方法を紹介します。目的GMOグループでは、2018年7月より脆弱性のあるSSL/TLSプロトコルを順次無効化する方針となりました。私が担当しているGKE上のシステムも対象です。ingress-gceを使った場合は初期状態でTLS1.0やTLS1.1が利用可能になっていたため、これを無効化する必要があります。TLS1.2の内部で利用される暗号化方式(Cipher)で強度の弱い方式が有効になっているため、これも無効化する必要があります。KubernetesでのSSL設定方法ingress-nginxを使う場合には、こちらに設定方法がありました。aws-alb-ingress-controllerを使う場合には、こちらに設定方法がありました。ingress-gceだけ設定方法が存在しない様で、ingress-gceで何をしているのかを仕組みから分解していくことにしました。Balancerが自動生成されます。Policyが定義されているのを見つけました。Policyを変更することで、SSL/TLSプロトコルを変更することが出来そうです。Policies画面で作成します。1.2′′を指定します。Profileには、弱い暗号化方式(Cipher)を無効化するため、”Modern”を指定します。Balancerへ紐付けることが出来ます。Balancing画面で確認できます。BalancerのFrontendへ紐付けるには、gcloudコマンドを利用します。Frontendはgcloudではtarget-https-proxiesと名前を変えます。Policyの作成とtarget-https-proxiesとの紐付けは、同時に行うことが出来ません。変更前は有効になっていたTLS1.1とTLS1.0が無効に変わっていることを確認しました。併せて、TLS1.2のCipherから強度の弱い暗号化方式が消えていることを確認できました。Policyの設定は、KubernetesのYaml定義やkubectlでは設定することが出来ませんでした。Policy紐付けは非常に困難そうです。GKEのバージョンアップでコッソリ機能追加されそうですが、今時点だとGCPコンソールからの適用が一番確実だと思います。明日は、【T.Sさん】の【聖なる夜に贈るインフラ事件簿】についてのお話です。@gmoap_engineer本ブログで発信される情報は、各エンジニア個人の見解であり、弊社の公式見解ではありません。本ブログに掲載、引用等をしている商品またはサービス等の名称は、各社の商標または登録商標です。その他の事項について一切責任を負いかねます。発表する情報には注意を払っておりますが、公式発表、見解については、弊社WEBサイトおよびプレスリリースなどをご確認ください。GMOインターネットグループにおけるソーシャルメディア運用ポリシーについては次のページをご確認ください。本ブログに掲載のあるソフトウェアのダウンロードは自己責任で御願い致します。ソフトウェアのダウンロードの結果、ご利用者に何らかの損失・損害が生じたといえども、当社ではその責任を負いかねます。本ブログに掲載のあるソフトウェアを扱う際は、各ソフトウェアの公式リファレンスを参照のもとご使用下さい。ソフトウェアの実行の結果、ご利用者に何らかの損失・損害が生じたといえども、当社ではその責任を負いかねます。