Certificaten instellen voor beheerde mobiele apparaten en ChromeOS-apparaten

Mobiele apparaten: Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard, Education Plus en Endpoint Education Upgrade; Cloud Identity Premium. Vergelijk uw editie

ChromeOS-apparaten: Chrome Enterprise is vereist voor apparaatgebonden certificaten.

U kunt de toegang van gebruikers tot de Wi-Fi- en Ethernet-netwerken, virtuele particuliere netwerken (VPN's) en interne apps en websites van uw organisatie op mobiele apparaten en ChromeOS-apparaten beheren door certificaten te distribueren vanuit uw eigen certificeringsinstantie (CA). De Google Cloud Certificate Connector is een Windows-service die op een veilige manier certificaten en authenticatiesleutels distribueert van uw Simple Certificate Enrollment Protocol (SCEP)-server naar de mobiele apparaten en ChromeOS-apparaten van gebruikers. Zie voor meer informatie ' Hoe certificaatauthenticatie via de Google Cloud Certificate Connector werkt' op deze pagina.

Voor ChromeOS-apparaten kunt u gebruikerscertificaten of apparaatcertificaten instellen. Een gebruikerscertificaat wordt aan een apparaat toegevoegd voor een specifieke gebruiker en is toegankelijk voor die gebruiker. Een apparaatcertificaat wordt toegewezen op basis van het apparaat en is toegankelijk voor elke gebruiker die is aangemeld bij het apparaat. Zie Clientcertificaten beheren op Chrome-apparaten voor meer informatie.

Als u de toegang tot wifi-netwerken wilt beheren voor zowel mobiele apparaten als ChromeOS-apparaten, moet u aparte SCEP-profielen en wifi-netwerken instellen, omdat mobiele apparaten en ChromeOS-apparaten verschillende RSA-sleuteltypen ondersteunen.

Opmerkingen over het bewaren van sleutels:

• Voor mobiele apparaten worden de privésleutels voor de certificaten gegenereerd op de servers van Google. De sleutels worden van de Google-servers verwijderd nadat het certificaat op het apparaat is geïnstalleerd of na 24 uur, afhankelijk van wat zich het eerst voordoet.
• Voor ChromeOS-apparaten worden de privésleutels voor de certificaten op het ChromeOS-apparaat zelf gegenereerd. De bijbehorende publieke sleutel wordt tijdelijk op Google-servers opgeslagen en verwijderd nadat het certificaat is geïnstalleerd.

Systeemvereisten

• Microsoft Active Directory Certificate Service voor een SCEP-server en de Microsoft Network Device Enrollment Service (NDES) voor het distribueren van certificaten.
• Mobiele apparaten: iOS- en Android-apparaten onder geavanceerd mobiel beheer . Lees meer over de apparaatvereisten .

• ChromeOS-apparaten:

  • Apparaatcertificaten: ChromeOS versie 89 of later en beheerd met Chrome Enterprise.

  • Gebruikerscertificaten: ChromeOS versie 86 of later.

    Opmerking: Voor versies ouder dan 87 moeten gebruikers het apparaat opnieuw opstarten of een paar uur wachten totdat het gebruikerscertificaat is geïmplementeerd.

Voordat je begint

• Als u de onderwerpnaam van het certificaat wilt gebruiken met Active Directory-gebruikersnamen, moet u uw Active Directory en Google Directory synchroniseren met Google Cloud Directory Sync (GCDS). Stel GCDS indien nodig in.
• Als je nog geen CA-certificaat hebt geüpload in de Google Admin-console, voeg dan een certificaat toe .
• Bekijk bekende problemen om onverwacht gedrag te voorkomen.

Bekende problemen

• Certificaten kunnen niet meer worden ingetrokken nadat ze op een apparaat zijn geïnstalleerd.
• SCEP-profielen bieden geen ondersteuning voor dynamische uitdagingen.
• In sommige gevallen kan de overerving van SCEP-profielen tussen organisatie-eenheden mislukken. Als u bijvoorbeeld een SCEP-profiel instelt voor een organisatie-eenheid en vervolgens het SCEP-profiel van een onderliggende organisatie-eenheid wijzigt, kunnen de onderliggende organisatie-eenheden de SCEP-profielen van de bovenliggende organisatie-eenheid niet meer overnemen.
• Voor mobiele apparaten kunnen SCEP-profielen niet worden toegepast op VPN- of Ethernet-configuraties, alleen op Wi-Fi.
• Voor ChromeOS-apparaten kunnen SCEP-profielen niet rechtstreeks worden toegepast op VPN- of Ethernet-configuraties. Om een ​​SCEP-profiel indirect toe te passen op VPN- of Ethernet-configuraties, gebruikt u issuer- of subjectpatronen om automatisch te selecteren welk certificaat moet worden gebruikt.
• Voor ChromeOS-gebruikers kunnen certificaten alleen worden uitgerold voor gebruikers die zijn aangemeld bij een beheerd apparaat. De gebruiker en het apparaat moeten tot hetzelfde domein behoren.

Stap 1: Download de Google Cloud-certificaatconnector

Voer de volgende stappen uit op de SCEP-server of een Windows-computer met een account dat zich als service kan aanmelden bij de SCEP-server. Zorg dat u de inloggegevens van dit account bij de hand hebt.

Als uw organisatie meerdere servers heeft, kunt u dezelfde certificaatconnectoragent op al deze servers gebruiken. Download en installeer het installatiebestand, het configuratiebestand en het sleutelbestand op één computer zoals beschreven in de volgende stappen. Kopieer vervolgens deze drie bestanden naar de andere computer en volg de installatie-instructies op die computer.

Opmerking: U downloadt de Google Cloud Certificate Connector en de bijbehorende componenten slechts één keer, namelijk wanneer u voor het eerst certificaten voor uw organisatie instelt. Uw certificaten en SCEP-profielen kunnen één certificaatconnector delen.

1. Ga in de Google Admin-console naar Menu. Apparaten Netwerken .

   Ga naar Netwerken

   Hiervoor is beheerdersrechten voor gedeelde apparaatinstellingen vereist.

2. Klik op Beveilig SCEP Download Connector .
3. Klik in het gedeelte 'Google Cloud-certificaatconnector installeren' op 'Downloaden' .
4. Klik op de pagina van de Google Cloud Certificate Connector op Downloaden om het bestand connector_installer.exe te downloaden.
5. Sluit de pagina ' Bedankt voor het downloaden van Google Cloud Certificate Connector! '.
6. Klik in de beheerdersconsole, in het gedeelte 'Het connectorconfiguratiebestand downloaden' , op 'Downloaden' om het bestand config.json te downloaden.
7. Klik in het gedeelte ' Een serviceaccountsleutel verkrijgen ' op 'Sleutel genereren' om het bestand key.json te downloaden.

8. Voer connector_installer.exe uit als beheerder.

   Opmerking : Het installatieprogramma registreert de connectorservice met standaardreferenties (LocalService). Later kunt u de service laten uitvoeren onder een ander serviceaccount. Ga hiervoor naar de installatiemap van de connector en voer configtool.exe uit om ConfigTool te openen.

9. Verplaats de configuratie- en sleutelbestanden (config.json en key.json) naar de map van Google Cloud Certificate Connector die tijdens de installatie is aangemaakt, meestal: C:\Program Files\Google Cloud Certificate Connector.

10. Open de Google Cloud Certificate Connector-service:

    1. Open Windows-services.
    2. Selecteer Google Cloud Certificate Connector in de lijst met services.
    3. Klik op Start om de service te starten. Zorg ervoor dat de status verandert in Actief . De service start automatisch opnieuw op als de computer opnieuw opstart.

Als u later een nieuwe serviceaccountsleutel downloadt, start u de service opnieuw om deze toe te passen.

Stap 2: Voeg een SCEP-profiel toe

Het SCEP-profiel definieert het certificaat waarmee gebruikers toegang krijgen tot uw wifi- of ethernetnetwerk of VPN. U wijst het profiel toe aan specifieke gebruikers door het toe te voegen aan een organisatie-eenheid. U kunt meerdere SCEP-profielen instellen om de toegang per organisatie-eenheid en apparaattype te beheren. We raden aan om voor elke organisatie-eenheid waarop u het profiel wilt toepassen een apart SCEP-profiel in te stellen.

Voordat u begint: Als u een afdeling of team voor deze instelling wilt aanmaken, gaat u naar Een organisatie-eenheid toevoegen .

1. Ga in de Google Admin-console naar Menu. Apparaten Netwerken .

   Ga naar Netwerken

   Hiervoor is beheerdersrechten voor gedeelde apparaatinstellingen vereist.

2. (Optioneel) Om de instelling op een afdeling of team toe te passen, selecteert u aan de zijkant een organisatie-eenheid .
3. Voor Secure SCEP klikt u op 'Beveiligd SCEP-profiel maken' . Als u al een SCEP-profiel hebt aangemaakt, klikt u op 'Beveiligd SCEP'. Voeg een beveiligd SCEP-profiel toe .

4. Voer de configuratiegegevens voor het profiel in. Als uw CA een specifiek sjabloon gebruikt, zorg er dan voor dat de profielgegevens overeenkomen met die van het sjabloon.

   • Platformen waarop dit profiel van toepassing is — De apparaatplatformen die het SCEP-profiel gebruiken. Voor ChromeOS-apparaten moet u Chromebook (gebruiker) , Chromebook (apparaat) of beide aanvinken, afhankelijk van het type certificaat dat u wilt implementeren.
   • SCEP-profielnaam — Een beschrijvende naam voor het profiel. De naam wordt weergegeven in de lijst met profielen en in de profielkiezer in de Wi-Fi-netwerkconfiguratie.
   • Formaat van de onderwerpnaam — Kies hoe u de eigenaar van het certificaat wilt identificeren. Als u 'Volledig onderscheidende naam' selecteert, is de algemene naam van het certificaat de gebruikersnaam.

   • Onderwerp alternatieve naam — Geef een SAN op. De standaardwaarde is Geen . Voor ChromeOS-apparaten kunt u onderwerp alternatieve namen definiëren op basis van gebruikers- en apparaatkenmerken. Om een ​​aangepaste certificaatondertekeningsaanvraag (CSR) te gebruiken, configureert u de certificaatsjabloon op de CA zodanig dat deze een certificaat verwacht en genereert met de onderwerpwaarden die in de aanvraag zelf zijn gedefinieerd. U moet minimaal een waarde opgeven voor de CommonName van het onderwerp.

     Je kunt de volgende plaatsaanduidingen gebruiken. Alle waarden zijn optioneel.

     • ${DEVICE_DIRECTORY_ID}—De directory-ID van het apparaat
     • ${USER_EMAIL}—E-mailadres van de ingelogde gebruiker
     • ${USER_EMAIL_DOMAIN}—De domeinnaam van de ingelogde gebruiker
     • ${DEVICE_SERIAL_NUMBER}—Serienummer van het apparaat
     • ${DEVICE_ASSET_ID}—Asset-ID toegewezen aan het apparaat door de beheerder
     • ${DEVICE_ANNOTATED_LOCATION}—Locatie die door de beheerder aan het apparaat is toegewezen
     • ${USER_EMAIL_NAME}—Het eerste deel (het deel vóór de @) van het e-mailadres van de ingelogde gebruiker

     Als er geen plaatsvervanger beschikbaar is, wordt deze vervangen door een lege tekenreeks.

   • Ondertekeningsalgoritme — De hashfunctie die wordt gebruikt om de autorisatiesleutel te versleutelen. Alleen SHA256 met RSA is beschikbaar.

   • Sleutelgebruik — Opties voor het gebruik van de sleutel, sleutelversleuteling en ondertekening. U kunt meerdere opties selecteren.

   • Sleutelgrootte (bits) — De grootte van de RSA-sleutel. Selecteer 2048 voor ChromeOS-apparaten.

   • Selecteer voor Beveiliging het type attestatie dat vereist is voor verbonden apparaten. Deze instelling is niet van toepassing op mobiele apparaten.

   • In het gedeelte 'SCEP-serverkenmerken' kunt u waarden en voorkeuren voor de SCEP-server configureren.

     • SCEP-server-URL — De URL van de SCEP-server.
     • Geldigheidsduur certificaat (jaren) — Hoe lang het apparaatcertificaat geldig is. Voer dit in als een getal.
     • Vernieuwen binnen enkele dagen — Hoe lang moet je nog wachten voordat het apparaatcertificaat verloopt voordat je het certificaat probeert te vernieuwen?
     • Uitgebreid sleutelgebruik — Hoe de sleutel kan worden gebruikt. U kunt meerdere waarden selecteren.
     • Uitdagingstype — Om te vereisen dat Google een specifieke uitdagingszin verstrekt wanneer het een certificaat aanvraagt ​​bij de SCEP-server, selecteert u Statisch en voert u de zin in. Als u Geen selecteert, vereist de server deze controle niet.
     • Sjabloonnaam — De naam van het sjabloon dat door uw NDES-server wordt gebruikt.
     • Certificeringsinstantie — De naam van een certificaat dat u hebt geüpload om als certificeringsinstantie te gebruiken.
     • Netwerktype waarop dit profiel van toepassing is — Het type netwerken dat het SCEP-profiel gebruikt.
5. Klik op Opslaan. Of u kunt voor een organisatie-eenheid op Overschrijven klikken.

   Om de overgeërfde waarde later te herstellen, klikt u op Overnemen .

Nadat je een profiel hebt toegevoegd, wordt het weergegeven met de naam en de platforms waarop het is ingeschakeld. In de kolom 'Platform' wordt aangegeven of het profiel is ingeschakeld voor platforms met een blauw pictogram en uitgeschakeld voor platforms met een grijs pictogram. Om een ​​profiel te bewerken, ga je met de muis over de betreffende rij en klik je op 'Bewerken'. .

Het SCEP-profiel wordt automatisch verspreid onder gebruikers binnen de organisatie-eenheid.

Stap 3: Configureer de keystore van de Google Cloud Certificate Connector.

Als uw certificaat is uitgegeven door een vertrouwde CA of als de URL van uw SCEP-server begint met HTTP, kunt u deze stap overslaan.

Als uw certificaat niet is uitgegeven door een vertrouwde certificeringsinstantie, zoals een zelfondertekend certificaat, moet u het certificaat importeren in de certificaatopslag van de Google Cloud Certificate Connector. Anders kan het apparaatcertificaat niet worden geconfigureerd en kan het apparaat geen verbinding maken.

1. Meld u aan bij uw CA-account.
2. Als er nog geen Java JRE is geïnstalleerd, installeer er dan een zodat je keytool.exe kunt gebruiken.
3. Open een opdrachtprompt.

4. Exporteer uw CA-certificaat en converteer het naar een PEM-bestand door de volgende opdrachten uit te voeren:

   certutil -ca.cert C:\root.cer
   certutil ‑encode cacert.cer cacert.pem

5. Importeer het CA-certificaat in de keystore. Voer vanuit de subdirectory van de Google Cloud Certificate Connector-map die tijdens de installatie is aangemaakt (meestal C:\Program Files\Google Cloud Certificate Connector) de volgende opdracht uit. Vervang `java-home-dir` door het pad naar de JRE in de Google Cloud Certificate Connector-map en `cert-export-dir` door het pad naar het certificaat dat u in stap 4 hebt geëxporteerd: `java-home-dir \bin\keytool.exe ‑import ‑keystore rt\lib\security\cacerts ‑trustcacerts ‑file cert-export-dir \cacert.pem ‑storepass changeit`

Stap 4: Netwerken configureren om het SCEP-profiel te vereisen (optioneel)

Afhankelijk van het type netwerk kunt u instellen dat het SCEP-profiel vereist is.

Hoe certificaatverificatie via Google Cloud Certificate Connector werkt

De Google Cloud Certificate Connector is een Windows-service die een exclusieve verbinding tot stand brengt tussen uw SCEP-server en Google. De certificaatconnector wordt geconfigureerd en beveiligd door een configuratiebestand en een sleutelbestand, die beide uitsluitend voor uw organisatie bestemd zijn.

U wijst apparaatcertificaten toe aan apparaten en gebruikers met SCEP-profielen. Om een ​​profiel toe te wijzen, kiest u een organisatie-eenheid en voegt u het profiel toe aan die organisatie-eenheid. Het profiel bevat de certificeringsinstantie die apparaatcertificaten uitgeeft. Wanneer een gebruiker zijn mobiele apparaat of ChromeOS-apparaat registreert voor beheer, haalt Google Endpoint Management het SCEP-profiel van de gebruiker op en installeert het certificaat op het apparaat. Voor ChromeOS-apparaten wordt een apparaatcertificaat geïnstalleerd voordat de gebruiker zich aanmeldt, terwijl een gebruikerscertificaat wordt geïnstalleerd nadat de gebruiker zich heeft aangemeld. Als het apparaat al is geregistreerd, wordt het certificaat geïnstalleerd als onderdeel van een reguliere synchronisatiecyclus.

Wanneer een gebruiker probeert verbinding te maken met uw netwerk, wordt hij of zij gevraagd het certificaat te verstrekken. Op Android-apparaten wordt het certificaat automatisch geselecteerd en klikt de gebruiker op Verbinden . Op iOS-apparaten moet de gebruiker het certificaat handmatig selecteren en vervolgens verbinding maken. Het apparaat krijgt toegang tot het netwerk van uw organisatie met behulp van een sleutel die door Google via de certificaatconnector wordt onderhandeld. Google slaat de sleutel tijdelijk op tijdens de beveiligingsonderhandeling, maar verwijdert de sleutel zodra deze op het apparaat is geïnstalleerd (of na 24 uur).

Google, Google Workspace en aanverwante merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waaraan ze zijn verbonden.