Konfigurera certifikat för hanterade mobila enheter och ChromeOS-enheter

Mobila enheter: Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus, Enterprise Standard och Enterprise Plus, Education Standard, Education Plus och Endpoint Education Upgrade, Cloud Identity Premium. Jämför utgåvor

ChromeOS-enheter: Chrome Enterprise krävs för enhetsbaserade certifikat.

Du kan styra användarnas åtkomst till organisationens wifi- och Ethernet-nätverk, virtuella privata nätverk (VPN) och interna appar och webbplatser på mobila enheter och ChromeOS-enheter genom att distribuera certifikat från den lokala certifikatutfärdaren (CA). Google Cloud Certificate Connector är en Windows-tjänst som distribuerar certifikat och auktoriseringsnycklar säkert från SCEP-servern (Simple Certificate Enrollment Protocol) till användarnas mobila enheter och ChromeOS-enheter. Mer information finns i Så här fungerar certifikatverifiering via Google Cloud Certificate Connector på den här sidan.

För ChromeOS-enheter kan du konfigurera användarbaserade eller enhetsbaserade certifikat. Ett användarcertifikat läggs till på enheten för en viss användare och är tillgängligt för användaren. Ett enhetscertifikat tilldelas baserat på enheten och är tillgängligt för alla användare som är inloggade på enheten. Mer information finns i Hantera klientcertifikat på Chrome-enheter.

Om du vill styra åtkomsten till wifi-nätverk för både mobila enheter och ChromeOS-enheter måste du konfigurera separata SCEP-profiler och wifi-nätverk eftersom mobila enheter och ChromeOS-enheter har stöd för olika RSA-nyckeltyper.

Information om nyckellagring:

• För mobila enheter genereras privata nycklar för certifikaten på Googles servrar. Nycklarna rensas från Googles servrar efter det som inträffar först av att certifikatet har installerats på enheten eller 24 timmar.
• För ChromeOS-enheter skapas privata nycklar för certifikaten på ChromeOS-enheten. Den motsvarande offentliga nyckeln lagras tillfälligt på Googles servrar och rensas när certifikatet har installerats.

Systemkrav

• Microsoft Active Directory Certificate Service för en SCEP-server och Microsoft Network Device Enrollment Service (NDES) för att distribuera certifikat.
• Mobila enheter: iOS- och Android-enheter med avancerad mobilhantering. Läs mer om enhetskrav.

• ChromeOS-enheter:

  • Enhetscertifikat: ChromeOS version 89 eller senare och hanteras med Chrome Enterprise

  • Användarcertifikat: ChromeOS version 86 eller senare.

    Obs! För versioner som är äldre än 87 måste användarna starta om enheten eller vänta ett par timmar på att användarcertifikatet ska implementeras.

Innan du börjar

• Om du behöver certifikatets ämnesnamn för att använda Active Directory-användarnamn måste du synkronisera Active Directory och Google Directory med Google Cloud Directory Sync (GCDS). Om det behövs konfigurerar du GCDS.
• Om du inte redan har laddat upp ett CA-certifikat på Googles administratörskonsol lägger du till ett certifikat.
• Granska kända problem för att undvika oväntat beteende.

Kända problem

• Certifikat kan inte återkallas när de har installerats på en enhet.
• SCEP-profiler har inte stöd för dynamiska utmaningar.
• SCEP-profilens arv mellan organisationsenheter kan i vissa fall brytas. Om du till exempel anger en SCEP-profil för en organisationsenhet och ändrar en underordnad organisationsenhets SCEP-profil kan ingen av den överordnade organisationsenhetens SCEP-profiler ärvas av den underordnade organisationsenheten igen.
• För mobila enheter kan SCEP-profiler inte tillämpas på VPN- eller Ethernet-konfigurationer, endast wifi.
• För ChromeOS-enheter kan SCEP-profiler inte tillämpas direkt på VPN- eller Ethernet-konfigurationer. Om du vill tillämpa en SCEP-profil indirekt på VPN- eller Ethernet-konfigurationer använder du utfärdar- eller ämnesmönster för att automatiskt välja vilket certifikat som ska användas.
• För ChromeOS-enhetsanvändare kan certifikat endast distribueras för användare som är inloggade på en hanterad enhet. Användaren och enheten måste tillhöra samma domän.

Steg 1: Ladda ned Google Cloud Certificate Connector

Utför följande steg på SCEP-servern eller en Windows-dator med ett konto som kan logga in som en tjänst på SCEP-servern. Ha användaruppgifterna för kontot till hands.

Om organisationen har flera servrar kan du använda samma agent för certifikatanslutare på samtliga. Ladda ned och installera installationsfilen, konfigurationsfilen och nyckelfilen på en dator enligt beskrivningen i följande steg. Kopiera sedan de tre filerna till den andra datorn och följ konfigurationsanvisningarna på den datorn.

Obs! Du laddar bara ned Google Cloud Certificate Connector och dess komponenter en gång när du konfigurerar certifikat för organisationen. Dina certifikat och SCEP-profiler kan dela en certifikatanslutare.

1. I Googles administratörskonsol går du till menyn Enheter Nätverk.

   Öppna Nätverk

   Administratörsbehörigheten Delade enhetsinställningar krävs.

2. Klicka på Säker SCEP Ladda ned anslutare.
3. Klicka på Ladda ned i avsnittet Installera Google Cloud Certificate Connector.
4. Klicka på Ladda ned på sidan Google Cloud Certificate Connector för att ladda ned filen connector_installer.exe.
5. Stäng sidan Tack för att du laddade ned Google Cloud Certificate Connector!.
6. Klicka på Ladda ned i avsnittet Ladda ned konfigurationsfilen för anslutaren i administratörskonsolen för att ladda ned filen config.json.
7. Klicka på Generera nyckel i avsnittet Hämta en tjänstkontonyckel för att ladda ned filen key.json.

8. Kör connector_installer.exe som administratör.

   Obs! Installationsprogrammet registrerar anslutningstjänsten med standarduppgifter (LocalService). Du kan senare ändra tjänsten så att den körs som ett annat tjänstkonto. Öppna installationskatalogen för anslutaren och kör configtool.exe för att öppna ConfigTool.

9. Flytta konfigurations- och nyckelfilerna (config.json och key.json) till mappen Google Cloud Certificate Connector som skapades under installationen: C:\Program Files\Google Cloud Certificate Connector.

10. Starta tjänsten Google Cloud Certificate Connector:

    1. Öppna Windows-tjänster.
    2. Välj Google Cloud Certificate Connector i listan över tjänster.
    3. Klicka på Starta för att starta tjänsten. Kontrollera att statusen ändras till Aktiv. Tjänsten startas om automatiskt om datorn startas om.

Om du laddar ned en ny nyckel för tjänstkontot senare startar du om tjänsten för att tillämpa den.

Steg 2: Lägg till en SCEP-profil

SCEP-profilen definierar certifikatet som ger användarna åtkomst till wifi- eller Ethernet-nätverket eller VPN. Du tilldelar profilen till specifika användare genom att lägga till den i en organisationsenhet. Du kan konfigurera flera SCEP-profiler för att hantera åtkomst per organisationsenhet och enhetstyp. Vi rekommenderar att du anger en separat SCEP-profil för varje organisationsenhet som du vill att profilen ska gälla för.

Innan du börjar: Om du behöver konfigurera en avdelning eller ett team för den här inställningen går du till Lägg till en organisationsenhet.

1. I Googles administratörskonsol går du till menyn Enheter Nätverk.

   Öppna Nätverk

   Administratörsbehörigheten Delade enhetsinställningar krävs.

2. (Valfritt) Välj en organisationsenhet vid sidan om du vill att inställningen ska gälla för en avdelning eller ett team.
3. För Säker SCEP klickar du på Skapa säker SCEP-profil. Om du redan har skapat en SCEP-profil klickar du på Säker SCEP Lägg till säker SCEP-profil.

4. Ange konfigurationsinformationen för profilen. Om din certifikatutfärdare utfärdar en viss mall matchar du informationen i profilen med mallen.

   • Plattformar som profilen gäller för – de enhetsplattformar som använder SCEP-profilen. För ChromeOS-enheter ska du kontrollera Chromebook (användare), Chromebook (enhet) eller båda, beroende på vilken typ av certifikat du vill implementera.
   • SCEP-profilnamn – ett beskrivande namn för profilen. Namnet visas i listan över profiler och i profilväljaren i wifi-nätverkskonfigurationen.
   • Ämnesnamnformat – välj hur du vill identifiera certifikatägaren. Om du väljer Fullständigt unikt namn är certifikatets Common Name användarens användarnamn.

   • Alternativt ämnesnamn – ange ett SAN. Standardinställningen är Inget. För ChromeOS-enheter kan du definiera alternativa namn på ämne baserat på användar- och enhetsattribut. Om du vill använda en anpassad certifikatsigneringsbegäran (CSR) konfigurerar du certifikatmallen på CA för att förvänta och generera ett certifikat med de ämnesvärden som definieras i själva begäran. Du måste minst ange ett värde för ämnet CommonName.

     Du kan använda följande platshållare. Alla värden är valfria.

     • ${DEVICE_DIRECTORY_ID} – enhetens katalog-id
     • ${USER_EMAIL} – den inloggade användarens e-postadress
     • ${USER_EMAIL_DOMAIN} – den inloggade användarens domännamn
     • ${DEVICE_SERIAL_NUMBER} – enhetens serienummer
     • ${DEVICE_ASSET_ID} – tillgångs-id som tilldelats enheten av administratören
     • ${DEVICE_ANNOTATED_LOCATION} – placering som tilldelats enheten av administratören.
     • ${USER_EMAIL_NAME} – den första delen (delen före @) av den inloggade användarens e-postadress.

     Om ett platshållarvärde inte är tillgängligt ersätts det med en tom sträng.

   • Signeringsalgoritm – hashfunktionen som används för att kryptera auktoriseringsnyckeln. Endast SHA256 med RSA är tillgängligt.

   • Nyckelanvändning – alternativ för hur du använder nyckeln, nyckelchiffrering och signering. Du kan välja fler än en.

   • Nyckelstorlek (bitar) – storleken på RSA-nyckeln. Välj 2048 för ChromeOS-enheter.

   • För Säkerhet väljer du den typ av attestering som krävs för anslutna enheter. Den här inställningen gäller inte mobila enheter.

   • Konfigurera värden och inställningar för SCEP-servern i avsnittet SCEP-serverattribut.

     • Webbadress för SCEP-server – webbadressen till SCEP-servern.
     • Giltighetsperiod för certifikat (år) – hur länge enhetscertifikatet är giltigt. Ange som ett tal.
     • Förnya inom dagar – hur lång tid innan enhetscertifikatet löper ut för att försöka förnya certifikatet.
     • Utökad nyckelanvändning – hur nyckeln kan användas. Du kan välja fler än ett värde.
     • Utmaningstyp – om du vill kräva att Google tillhandahåller en angiven utmaningsfras när ett certifikat begärs från SCEP-servern väljer du Statisk och anger frasen. Om du väljer Ingen kräver servern inte den här kontrollen.
     • Mallnamn – namnet på den mall som används av NDES-servern.
     • Certifikatutfärdare – namnet på ett certifikat som du har laddat upp för användning som certifikatutfärdare.
     • Nätverkstyp som profilen gäller – den typ av nätverk som använder SCEP-profilen.
5. Klicka på Spara. Du kan även klicka på Åsidosätt för en organisationsenhet.

   Om du vill återställa det ärvda värdet senare klickar du på Ärv.

När du har lagt till en profil visas den med namnet och de plattformar den är aktiverad på. I kolumnen Plattform är profilen aktiverad för plattformar med blå ikoner och inaktiverad för plattformar med grå ikoner. Redigera en profil genom att peka på raden och klicka på Redigera .

SCEP-profilen distribueras automatiskt till användare i organisationsenheten.

Steg 3: Konfigurera nyckellagret för Google Cloud Certificate Connector

Om certifikatet utfärdas av en betrodd certifikatutfärdare eller om SCEP-serverns webbadress börjar med HTTP kan du hoppa över det här steget.

Om certifikatet inte har utfärdats av en betrodd certifikatutfärdare, till exempel ett självsignerat certifikat, måste du importera certifikatet till nyckellagret för Google Cloud Certificate Connector. Annars kan enhetscertifikatet inte administreras och enheten kan inte ansluta.

1. Logga in på certifikatutfärdaren.
2. Om Java JRE inte redan är installerat installerar du det så att du kan använda keytool.exe.
3. Öppna en kommandotolk.

4. Exportera CA-certifikatet och konvertera det till en PEM-fil genom att köra följande kommandon:

   certutil ‑ca.cert C:\root.cer
   certutil ‑encode cacert.cer cacert.pem

5. Importera CA-certifikatet till keystore. Kör följande kommando från underkatalogen i mappen Google Cloud Certificate Connector som skapades under installationen, vanligtvis C:\Program Files\Google Cloud Certificate Connector, och ersätt java-home-dir med sökvägen till JRE i mappen Google Cloud Certificate Connector och cert-export-dir med sökvägen till certifikatet som du exporterade i steg 4: java-home-dir\bin\keytool.exe ‑import ‑keystore rt\lib\security\cacerts ‑trustcacerts ‑file cert-export-dir\cacert.pem ‑storepass changeit

Steg 4: Konfigurera nätverk för att kräva SCEP-profilen (valfritt)

Beroende på nätverkstyp kan du konfigurera det så att SCEP-profilen krävs.

Så här fungerar certifikatverifiering via Google Cloud Certificate Connector

Google Cloud Certificate Connector är en Windows-tjänst som skapar en exklusiv anslutning mellan SCEP-servern och Google. Certifikatanslutaren konfigureras och skyddas av en konfigurationsfil och en nyckelfil som båda är dedikerade till din organisation.

Du tilldelar certifikat till enheter och användare med SCEP-profiler. Om du vill tilldela profilen väljer du en organisationsenhet och lägger till profilen i organisationsenheten. Profilen innehåller den certifikatutfärdare som utfärdar enhetscertifikat. När en användare registrerar sin mobila enhet eller ChromeOS-enhet för hantering hämtar Googles ändpunktshantering användarens SCEP-profil och installerar certifikatet på enheten. För ChromeOS-enheter installeras ett enhetscertifikat innan användaren loggar in, medan ett användarcertifikat installeras efter att användaren har loggat in. Om enheten redan är registrerad installeras certifikatet som en del av en vanlig synkroniseringscykel.

När en användare försöker ansluta till nätverket uppmanas hen att ange certifikatet. På Android-enheter väljs certifikatet automatiskt och användaren klickar på Anslut. På iOS-enheter måste användaren välja certifikatet manuellt och sedan ansluta. Enheten får åtkomst till organisationens nätverk med en nyckel som Google har förhandlat fram via certifikatanslutaren. Google lagrar nyckeln tillfälligt under säkerhetsförhandlingen, men rensar nyckeln när den har installerats på enheten (eller efter 24 timmar).

Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.