Теперь, когда GCP предлагает управляемые сертификаты на уровне балансировщика нагрузки, возникает соблазн использовать простой http между балансировщиком нагрузки и внутренними экземплярами (то есть виртуальными машинами вычислительного ядра), потому что тогда вам не нужно создавать / развертывать сертификаты для них.
Поскольку этот трафик, даже если он не входит в проект VPC, все еще содержится в сети GCP, каковы риски? Я предполагаю, что, исключив кого-то с привилегированным доступом в GCP, будет сложно его подслушать ...?
Для защиты ваших сервисов может быть достаточно разорвать HTTPS-соединения на балансировщике нагрузки и использовать обычный HTTP на бэкэнде. GCP изолирует весь сетевой трафик и предоставляет надежные функции безопасности для всей своей инфраструктуры и служб, включая высокий уровень шифрования. Это означает, что другие виртуальные машины, не участвующие в этом конкретном общении, не могут его прослушивать. Поскольку он построен на основе IAM и IAM ACL. Однако обеспечение безопасности ваших ресурсов CGP - это общая ответственность. Соображений безопасности никогда не бывает достаточно, и использование, например, сеансов HTTPS или HTTP / 2 между подсистемой балансировки нагрузки и внутренними экземплярами может быть хорошей идеей, если вам требуется сквозное шифрование. Для внутренних виртуальных машин у вас будет больше гибкости, когда оно приходит к SSL сертификату.
-Сертификат может быть самоподписанным или подписанным любым центром сертификации. GFE не проверяет сертификат серверной части.
-GFE не проверяет соответствие атрибута CN или subjectAlternativeName имени хоста внутренней виртуальной машины. Также принимаются подстановочные сертификаты.
-Сертификат может быть еще недействителен, может быть действительным в настоящее время или срок его действия истек. GFE не проверяет ни одну из дат (notValidBefore, notValidAfter) на сертификате, представленном серверной виртуальной машиной.
Короче говоря, GFE совсем не разборчив, когда дело доходит до сертификатов SSL, которые используются для внутренней связи с LB. это Руководство по передовой практике может помочь вам принять соответствующие меры для обеспечения защиты вашей информации и услуг.
Кроме того, эта общедоступная документация Google может помочь вам понять различные уровни шифрования (Шифрование GCP при передаче, Шифрование GCP в REST) и процессы, которые GCP использует для защиты ваших данных.