Чтобы переводить контент на ваш предпочитаемый язык, Google использует технологии на основе искусственного интеллекта. Переводы от ИИ могут содержать ошибки.

Создание ключей и сертификатов для системы единого входа

Google Workspace предлагает клиентам Google Workspace и Google Workspace for Education систему единого входа. Система единого входа Google Workspace поддерживает открытые ключи и сертификаты, созданные с помощью алгоритма RSA или DSA. Чтобы использовать сервис, вам нужно сгенерировать набор открытых и закрытых ключей и сертификат X.509, содержащий открытый ключ. Получив открытый ключ или сертификат, вам нужно будет зарегистрировать его в Google. Для этого просто загрузите ключ или сертификат в консоли администратора Google.

Способ создания ключей и сертификатов часто зависит от платформы разработки и языка программирования. Ниже описаны несколько способов создания ключей и сертификата, необходимых для работы системы единого входа Google Workspace.

Использование OpenSSL

Существует множество способов создания пар из открытого и закрытого ключей, но одним из самых популярных является использование инструмента OpenSSL с открытым исходным кодом. Она портирована на все основные платформы и предоставляет простой интерфейс командной строки для генерации ключей.

Как создать закрытый ключ RSA

Чтобы создать закрытый ключ RSA с помощью OpenSSL, достаточно одной строки:

openssl genrsa -out rsaprivkey.pem 2048

Эта команда генерирует закрытый ключ в формате PEM и сохраняет его в файле rsaprivkey.pem. В этом примере создается ключ размером 2048 бит, который подходит практически для любых целей. Полученный закрытый ключ должен храниться в секрете и использоваться для подписи и расшифровки данных.

Для некоторых реализаций, в частности на основе Java, могут потребоваться DER или PKCS8, которые можно сгенерировать, выполнив следующие дополнительные действия:

openssl rsa -in rsaprivkey.pem -pubout -outform DER -out rsapubkey.der
openssl pkcs8 -topk8 -inform PEM -outform DER -in rsaprivkey.pem -out rsaprivkey.der -nocrypt

На шаге 1 генерируется открытый ключ в формате DER.

На шаге 2 создается закрытый ключ в формате pkcs8 и DER. После этого вы сможете использовать ключи rsapubkey.der и rsaprivkey.der.

Как создать закрытый ключ DSA

Для создания ключа DSA необходимо выполнить два шага:

openssl dsaparam -out dsaparam.pem 2048
openssl gendsa -out dsaprivkey.pem dsaparam.pem

На первом шаге создается файл параметров DSA dsaparam.pem, который в данном случае указывает OpenSSL создать 2048-битный ключ на втором шаге. Файл dsaparam.pem не является ключом и может быть удален после создания открытого и закрытого ключей. На втором шаге создается закрытый ключ в файле dsaprivkey.pem, который должен храниться в секрете.

Чтобы экспортировать ключ в двоичный формат DER, выполните следующие действия:

openssl dsa -in dsaprivkey.pem -outform DER -pubout -out dsapubkey.der
openssl pkcs8 -topk8 -inform PEM -outform DER -in dsaprivkey.pem -out dsaprivkey.der -nocrypt

На шаге 1 открытый ключ экспортируется в формат DER.

На шаге 2 закрытый ключ преобразуется в формат pkcs8 и DER. После этого вы сможете использовать пару из открытого (dsapubkey.der) и закрытого (dsaprivkey.der) ключей.

Как создать сертификат

На основе пары ключей можно создать сертификат X.509. Сертификат содержит соответствующий открытый ключ, а также некоторые метаданные, относящиеся к организации, создавшей сертификат. Чтобы создать самозаверяющийся сертификат на основе закрытого ключа RSA или DSA, выполните следующие действия:

openssl req -new -x509 -key dsaprivkey.pem -out dsacert.pem

После того как вы ответите на несколько вопросов, сертификат будет создан и сохранен в файле dsacert.pem. Этот файл вы загружаете в Google Workspace через панель управления при настройке системы единого входа.

Как создать цифровой отпечаток сертификата

Для некоторых приложений требуется цифровой отпечаток сертификата X.509, а не сам сертификат. Цифровой отпечаток – это дайджест сертификата в двоичном формате x509. Тип цифрового отпечатка зависит от алгоритма, который использовался для его создания, например SHA-1 или SHA-256.

Чтобы создать цифровой отпечаток SHA-256 из сертификата X.509, используйте следующую команду (замените название файла сертификата .pem на свое):

openssl x509 -noout -fingerprint -sha256 -inform pem -in "GoogleIDPCertificate-domain.com.pem"

Использование Microsoft Visual Studio в .NET

В Microsoft Visual Studio 2005 есть утилиты (в каталоге Common7ToolsBin), которые можно использовать для создания сертификата, совместимого с Google Workspace. Чтобы создать пару из открытого и закрытого ключей и сертификат в .NET, выполните следующие действия:

makecert -r -pe -n "CN=Test Certificate" -sky exchange -sv testcert.pvk testcert.cer
pvk2pfx -pvk testcert.pvk -spc testcert.cer -pfx testcert.pfx

По умолчанию в этих командах используется алгоритм RSA. На шаге 1 используется инструмент Certificate Creation (makecert.exe), чтобы создать самозаверяющийся сертификат X.509 с названием testcert.cer и соответствующий закрытый ключ.

На шаге 2 с помощью инструмента pvk2pfx (pvk2pfx.exe) создается файл PFX из файлов CER и PVK. содержащий как открытый, так и закрытый ключи.

Файл testcert.cer, созданный на шаге 1, можно загрузить в Google Workspace с помощью панели управления, а файл testcert.pfx, созданный на шаге 2, можно использовать для создания экземпляра X509Certificate2 (.NET 2.0+) для подписания ответа SAML.

Использование Keytool в Java

Разработчики Java могут использовать утилиту keytool, которая входит в стандартный пакет JDK, чтобы создать пару из открытого и закрытого ключей и сертификат X.509. keytool – это утилита для управления ключами и сертификатами, которая позволяет пользователям администрировать собственные пары открытых и закрытых ключей и связанные с ними сертификаты для использования в схемах аутентификации, требующих цифровых подписей. keytool хранит ключи и сертификаты в хранилище ключей, которое по умолчанию представляет собой файл (.keystore) в домашнем каталоге пользователя. Закрытые ключи защищаются паролями.

Создание пар ключей DSA

keytool -genkey -alias dsassokey -keyalg "DSA" -keysize 2048 -validity 180 -sigalg "SHA256withDSA"
keytool -export -alias dsassokey -file dsasso.cer

На шаге 1 создается пара открытого и закрытого ключей размером 2048 и сроком действия 180 дней с использованием алгоритма DSA.

На шаге 2 на основе открытого ключа создается сертификат X.509 (dsasso.cer). Затем вы загружаете dsasso.cer в Google Workspace с помощью панели управления.

Как создать пару ключей RSA

keytool -genkey -alias rsassokey -keyalg "RSA" -keysize 2048 -validity 180
keytool -export -alias rsassokey -file rsasso.cer

На шаге 1 создается пара открытого и закрытого ключей размером 2048 и сроком действия 180 дней с использованием алгоритма RSA.

На шаге 2 на основе открытого ключа создается сертификат X.509 (rsasso.cer). Затем вы загружаете rsasso.cer в Google Workspace с помощью панели управления.

Использование Java Cryptography Architecture

Java Cryptography Architecture (JCA) предоставляет основные классы и интерфейсы для создания свойств безопасности и управления ими. JCA включает части Java 2 SDK Security API, связанные с криптографией. С помощью этого API вы можете легко генерировать пары открытых и закрытых ключей по нужному алгоритму. Ниже приведен образец кода, который создает ключи DSA или RSA для использования с системой единого входа Google Workspace.

Как создать пару из открытого и закрытого ключей

import java.io.&#42;;
import java.security.&#42;;

public class KeyGenDSA {

  public static void main(String[] args) {
        try {
          KeyPairGenerator keyGen = KeyPairGenerator.getInstance("DSA");
          SecureRandom random = SecureRandom.getInstanceStrong();
          keyGen.initialize(2048, random);

          KeyPair pair = keyGen.generateKeyPair();
          PrivateKey priv = pair.getPrivate();
          PublicKey pub = pair.getPublic();

          byte[] encPriv = priv.getEncoded();
          FileOutputStream privfos = new FileOutputStream("DSAPrivateKey.key");
          privfos.write(encPriv);
          privfos.close();

          byte[] encPub = pub.getEncoded();
          FileOutputStream pubfos = new FileOutputStream("DSAPublicKey.key");
          pubfos.write(encPub);
          pubfos.close();

   } catch (Exception e) {
         e.printStackTrace();
   }
  }
}

В приведенном выше коде используется KeyPairGenerator для создания пары ключей DSA. Сгенерированные ключи будут в двоичном формате и будут выведены в отдельные файлы. После этого вы сможете зарегистрировать открытый ключ в Google Workspace и использовать закрытый ключ для подписи SAMLResponse. Чтобы сгенерировать пару ключей RSA вместо DSA, замените "DSA" в коде на "RSA".

Зарегистрируйте сертификат или открытый ключ в Google Workspace

После того как вы выполнили сложную часть по созданию ключей и сертификатов, следующая часть будет очень простой. Чтобы зарегистрировать сертификат или открытый ключ в Google Workspace, войдите в консоль администратора. Выберите Безопасность, затем Настройка системы единого входа и заполните все поля на странице в разделе Настройка системы единого входа со сторонним поставщиком идентификационной информации.

Создание ключей и сертификатов для системы единого входа Оптимизируйте свои подборки Сохраняйте и классифицируйте контент в соответствии со своими настройками.