ตั้งค่าใบรับรองสำหรับอุปกรณ์เคลื่อนที่และ ChromeOS ที่มีการจัดการ

อุปกรณ์เคลื่อนที่: รุ่นที่รองรับฟีเจอร์นี้ ได้แก่ Frontline Standard และ Frontline Plus; Enterprise Standard และ Enterprise Plus; Education Standard, Education Plus และ Endpoint Education Upgrade; Cloud Identity Premium เปรียบเทียบรุ่นของคุณ

อุปกรณ์ ChromeOS: ต้องใช้ Chrome Enterprise สำหรับใบรับรองตามอุปกรณ์

คุณสามารถควบคุมการเข้าถึงของผู้ใช้ไปยังเครือข่าย Wi-Fi และอีเทอร์เน็ต, เครือข่ายส่วนตัวเสมือน (VPN) รวมถึงแอปและเว็บไซต์ภายในขององค์กรได้ในมือถือและอุปกรณ์ ChromeOS ด้วยการกระจายใบรับรองจากผู้ออกใบรับรอง (CA) ภายในองค์กร ซึ่ง Google Cloud Certificate Connector เป็นบริการของ Windows ที่กระจายใบรับรองและคีย์การตรวจสอบสิทธิ์จากเซิร์ฟเวอร์ Simple Certificate Enrollment Protocol (SCEP) ไปยังมือถือและอุปกรณ์ ChromeOS ของผู้ใช้อย่างปลอดภัย โปรดดูรายละเอียดที่หัวข้อวิธีการตรวจสอบสิทธิ์ใบรับรองผ่าน Google Cloud Certificate Connector ในหน้านี้

สำหรับอุปกรณ์ ChromeOS คุณจะตั้งค่าใบรับรองตามผู้ใช้หรือตามอุปกรณ์ได้ ระบบจะเพิ่มใบรับรองผู้ใช้ลงในอุปกรณ์ให้กับผู้ใช้คนใดคนหนึ่ง และผู้ใช้รายนั้นจะเข้าถึงได้ หรือระบบจะมอบหมายใบรับรองอุปกรณ์ตามอุปกรณ์ และผู้ใช้ที่ลงชื่อเข้าใช้อุปกรณ์ดังกล่าวจะเข้าถึงได้ โปรดดูรายละเอียดที่หัวข้อจัดการใบรับรองไคลเอ็นต์ในอุปกรณ์ Chrome

หากต้องการควบคุมการเข้าถึงเครือข่าย Wi-Fi สำหรับทั้งมือถือและอุปกรณ์ ChromeOS คุณจะต้องตั้งค่าโปรไฟล์ SCEP และเครือข่าย Wi-Fi แยกกัน เนื่องจากมือถือและอุปกรณ์ ChromeOS รองรับคีย์ RSA คนละประเภท

หมายเหตุเกี่ยวกับพื้นที่เก็บข้อมูลคีย์:

• สำหรับอุปกรณ์เคลื่อนที่ คีย์ส่วนตัวสำหรับใบรับรองจะสร้างขึ้นในเซิร์ฟเวอร์ของ Google โดยจะลบคีย์ออกจากเซิร์ฟเวอร์ของ Google อย่างถาวรหลังจากติดตั้งใบรับรองในอุปกรณ์หรือหลังผ่านไป 24 ชั่วโมง ขึ้นอยู่กับว่ากิจกรรมใดจะเกิดก่อน
• สำหรับอุปกรณ์ ChromeOS ระบบจะสร้างคีย์ส่วนตัวสำหรับใบรับรองในอุปกรณ์ ChromeOS โดยจะจัดเก็บคีย์สาธารณะที่เกี่ยวข้องไว้ชั่วคราวในเซิร์ฟเวอร์ของ Google และจะลบถาวรหลังจากติดตั้งใบรับรอง

ข้อกำหนดของระบบ

• Microsoft Active Directory Certificate Service สำหรับเซิร์ฟเวอร์ SCEP และ Microsoft Network Device Enrollment Service (NDES) เพื่อแจกจ่ายใบรับรอง
• มือถือ: อุปกรณ์ iOS และ อุปกรณ์ Android ที่อยู่ภายใต้การจัดการมือถือขั้นสูง โปรดดูข้อมูลเพิ่มเติมเกี่ยวกับข้อกำหนดของอุปกรณ์

• อุปกรณ์ ChromeOS:

  • ใบรับรองอุปกรณ์: ChromeOS เวอร์ชัน 89 ขึ้นไปและจัดการด้วย Chrome Enterprise

  • ใบรับรองผู้ใช้: ChromeOS เวอร์ชัน 86 ขึ้นไป

    หมายเหตุ: สำหรับเวอร์ชันที่เก่ากว่า 87 ผู้ใช้จะต้องรีสตาร์ทอุปกรณ์หรือรอ 2-3 ชั่วโมงเพื่อให้ใบรับรองผู้ใช้ใช้งานได้

ข้อควรทราบก่อนที่จะเริ่มต้น

• หากต้องการให้ชื่อเรื่องของใบรับรองใช้ชื่อผู้ใช้ Active Directory คุณต้องซิงค์ Active Directory และ Google Directory กับ Google Cloud Directory Sync (GCDS) หากจำเป็น ให้ตั้งค่า GCDS
• หากยังไม่ได้อัปโหลดใบรับรอง CA ในคอนโซลผู้ดูแลระบบของ Google ให้เพิ่มใบรับรอง
• ดูปัญหาที่ทราบเพื่อหลีกเลี่ยงการทำงานที่ไม่คาดคิด

ปัญหาที่ทราบ

• คุณจะเพิกถอนใบรับรองไม่ได้หลังจากติดตั้งในอุปกรณ์แล้ว
• โปรไฟล์ SCEP ไม่รองรับการตรวจสอบแบบไดนามิก
• การรับค่าโปรไฟล์ SCEP ระหว่างหน่วยขององค์กรอาจใช้งานไม่ได้ในบางกรณี เช่น หากคุณตั้งค่าโปรไฟล์ SCEP สำหรับหน่วยขององค์กรและเปลี่ยนโปรไฟล์ SCEP ของหน่วยขององค์กรย่อย หน่วยขององค์กรย่อยจะไม่สามารถรับค่าโปรไฟล์ SCEP ของหน่วยขององค์กรระดับบนได้อีก
• สำหรับมือถือ โปรไฟล์ SCEP จะใช้กับการกำหนดค่า VPN หรืออีเทอร์เน็ตไม่ได้ และจะใช้ได้กับ Wi-Fi เท่านั้น
• สำหรับอุปกรณ์ ChromeOS โปรไฟล์ SCEP จะใช้กับการกำหนดค่า VPN หรืออีเทอร์เน็ตโดยตรงไม่ได้ หากต้องการใช้โปรไฟล์ SCEP กับการกำหนดค่า VPN หรืออีเทอร์เน็ตโดยอ้อม ให้ใช้รูปแบบผู้ออกและหัวเรื่องเพื่อเลือกใบรับรองที่จะใช้โดยอัตโนมัติ
• สำหรับผู้ใช้อุปกรณ์ ChromeOS ใบรับรองจะใช้ได้สำหรับผู้ใช้ที่ลงชื่อเข้าใช้อุปกรณ์ที่มีการจัดการเท่านั้น ผู้ใช้และอุปกรณ์ต้องอยู่ในโดเมนเดียวกัน

ขั้นตอนที่ 1: ดาวน์โหลด Google Cloud Certificate Connector

ทำตามขั้นตอนต่อไปนี้ในเซิร์ฟเวอร์ SCEP หรือคอมพิวเตอร์ Windows ด้วยบัญชีที่สามารถลงชื่อเข้าใช้เป็นบริการในเซิร์ฟเวอร์ SCEP โดยเตรียมข้อมูลเข้าสู่ระบบของบัญชีให้พร้อมใช้งาน

หากองค์กรมีเซิร์ฟเวอร์หลายเครื่อง คุณสามารถใช้เอเจนต์เครื่องมือเชื่อมต่อใบรับรองเดียวกันในเซิร์ฟเวอร์ทั้งหมดได้ ดาวน์โหลดและติดตั้งไฟล์การติดตั้ง ไฟล์การกำหนดค่า และไฟล์คีย์ในคอมพิวเตอร์เครื่องเดียวตามที่อธิบายไว้ในขั้นตอนต่อไปนี้ จากนั้นคัดลอกไฟล์ทั้ง 3 ไฟล์ไปยังคอมพิวเตอร์อีกเครื่องหนึ่ง แล้วทำตามวิธีการตั้งค่าในคอมพิวเตอร์เครื่องนั้น

หมายเหตุ: คุณจะดาวน์โหลด Google Cloud Certificate Connector และคอมโพเนนต์ต่างๆ เพียงครั้งเดียวเมื่อตั้งค่าใบรับรองสำหรับองค์กรเป็นครั้งแรก ใบรับรองและโปรไฟล์ SCEP ของคุณสามารถใช้เครื่องมือเชื่อมต่อใบรับรองร่วมกันได้

1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู อุปกรณ์ เครือข่าย

   ไปที่เครือข่าย

   ต้องมีสิทธิ์ของผู้ดูแลระบบในการตั้งค่าอุปกรณ์ที่แชร์

2. คลิก SCEP ที่ปลอดภัย ดาวน์โหลดเครื่องมือเชื่อมต่อ
3. คลิกดาวน์โหลดในส่วนติดตั้ง Google Cloud Certificate Connector
4. ในหน้า Google Cloud Certificate Connector ให้คลิกดาวน์โหลดเพื่อดาวน์โหลดไฟล์ connector_installer.exe
5. ปิดหน้าขอขอบคุณที่ดาวน์โหลด Google Cloud Certificate Connector
6. ในคอนโซลผู้ดูแลระบบ ให้คลิกดาวน์โหลดในส่วนดาวน์โหลดไฟล์การกำหนดค่าเครื่องมือเชื่อมต่อเพื่อดาวน์โหลดไฟล์ config.json
7. ในส่วนรับคีย์บัญชีบริการ ให้คลิกสร้างคีย์เพื่อดาวน์โหลดไฟล์ key.json

8. เรียกใช้ connector_installer.exe ในฐานะผู้ดูแลระบบ

   หมายเหตุ: โปรแกรมติดตั้งจะลงทะเบียนบริการเครื่องมือเชื่อมต่อด้วยข้อมูลเข้าสู่ระบบเริ่มต้น (LocalService) คุณสามารถเปลี่ยนบริการให้ทำงานเป็นบัญชีบริการอื่นได้ในภายหลัง โดยไปที่ไดเรกทอรีการติดตั้งสำหรับเครื่องมือเชื่อมต่อ แล้วเรียกใช้ configtool.exe เพื่อเปิด ConfigTool

9. ย้ายไฟล์การกำหนดค่าและคีย์ (config.json และ key.json) ไปยังโฟลเดอร์ Google Cloud Certificate Connector ที่สร้างระหว่างการติดตั้ง โดยทั่วไปจะอยู่ที่ C:\Program Files\Google Cloud Certificate Connector

10. เปิดบริการ Google Cloud Certificate Connector ดังนี้

    1. เปิดบริการของ Windows
    2. เลือก Google Cloud Certificate Connector ในรายการบริการ
    3. คลิกเริ่มเพื่อเริ่มบริการ ตรวจสอบว่าสถานะเปลี่ยนเป็นกำลังทำงาน โดยบริการจะรีสตาร์ทโดยอัตโนมัติหากคอมพิวเตอร์รีบูต

หากคุณดาวน์โหลดคีย์บัญชีบริการใหม่ในภายหลัง ให้รีสตาร์ทบริการเพื่อใช้คีย์ดังกล่าว

ขั้นตอนที่ 2: เพิ่มโปรไฟล์ SCEP

โปรไฟล์ SCEP จะกำหนดใบรับรองที่ช่วยให้ผู้ใช้เข้าถึงเครือข่าย Wi-Fi หรืออีเทอร์เน็ตหรือ VPN ได้ คุณจะให้สิทธิ์โปรไฟล์กับผู้ใช้บางรายได้โดยการเพิ่มโปรไฟล์นั้นลงในหน่วยขององค์กร โดยตั้งค่าโปรไฟล์ SCEP หลายโปรไฟล์เพื่อจัดการการเข้าถึงได้ตามหน่วยขององค์กรและตามประเภทอุปกรณ์ เราขอแนะนำให้ตั้งค่าโปรไฟล์ SCEP แยกต่างหากสำหรับหน่วยขององค์กรแต่ละหน่วยที่คุณต้องการใช้โปรไฟล์

ข้อควรทราบก่อนที่จะเริ่มต้น: หากต้องการกำหนดแผนกหรือทีมสำหรับการตั้งค่านี้ โปรดดูหัวข้อเพิ่มหน่วยขององค์กร

1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู อุปกรณ์ เครือข่าย

   ไปที่เครือข่าย

   ต้องมีสิทธิ์ของผู้ดูแลระบบในการตั้งค่าอุปกรณ์ที่แชร์

2. (ไม่บังคับ) หากต้องการใช้การตั้งค่ากับแผนกหรือทีม ให้เลือกหน่วยขององค์กรที่ด้านข้าง
3. ในส่วน SCEP ที่ปลอดภัย ให้คลิกสร้างโปรไฟล์ SCEP ที่ปลอดภัย หากสร้างโปรไฟล์ SCEP ไว้แล้ว ให้คลิก SCEP ที่ปลอดภัย เพิ่มโปรไฟล์ SCEP ที่ปลอดภัย

4. ป้อนรายละเอียดการกำหนดค่าสำหรับโปรไฟล์ หาก CA ของคุณออกเทมเพลตที่เฉพาะเจาะจง ให้จับคู่รายละเอียดของโปรไฟล์กับเทมเพลตนั้น

   • แพลตฟอร์มที่ใช้กับโปรไฟล์นี้ - แพลตฟอร์มอุปกรณ์ที่ใช้โปรไฟล์ SCEP สำหรับอุปกรณ์ ChromeOS ให้เลือก Chromebook (ผู้ใช้), Chromebook (อุปกรณ์) หรือทั้ง 2 อย่าง ขึ้นอยู่กับประเภทของใบรับรองที่คุณต้องการใช้งาน
   • ชื่อโปรไฟล์ SCEP - ชื่อที่สื่อความหมายถึงโปรไฟล์นั้น ชื่อจะแสดงในรายการโปรไฟล์และในตัวเลือกโปรไฟล์ในการกำหนดค่าเครือข่าย Wi-Fi
   • รูปแบบชื่อเรื่อง - เลือกวิธีระบุเจ้าของใบรับรอง หากเลือกชื่อเฉพาะแบบเต็ม ชื่อทั่วไปของใบรับรองจะเป็นชื่อผู้ใช้ของผู้ใช้

   • ชื่อเรื่องอื่น - ให้ระบุ SAN โดยค่าเริ่มต้นจะเป็นไม่มี สำหรับอุปกรณ์ ChromeOS คุณสามารถกำหนดชื่อเรื่องอื่นตามแอตทริบิวต์ของผู้ใช้และอุปกรณ์ได้ หากต้องการใช้คำขอลงชื่อใบรับรอง (CSR) ที่กำหนดเอง ให้กำหนดค่าเทมเพลตใบรับรองใน CA เพื่อให้ได้ใบรับรองที่มีค่าเรื่องตามที่กำหนดไว้ในคำขอ และอย่างน้อยต้องระบุค่าเรื่องเป็น CommonName

     คุณจะใช้ตัวยึดตำแหน่งต่อไปนี้ได้ โดยจะใส่หรือไม่ใส่ก็ได้

     • ${DEVICE_DIRECTORY_ID} - รหัสไดเรกทอรีของอุปกรณ์
     • ${USER_EMAIL} - อีเมลของผู้ใช้ที่ลงชื่อเข้าใช้
     • ${USER_EMAIL_DOMAIN} - ชื่อโดเมนของผู้ใช้ที่ลงชื่อเข้าใช้
     • ${DEVICE_SERIAL_NUMBER} - หมายเลขซีเรียลของอุปกรณ์
     • ${DEVICE_ASSET_ID} - รหัสเนื้อหาของอุปกรณ์ที่ผู้ดูแลระบบกำหนดไว้
     • ${DEVICE_ANNOTATED_LOCATION} - สถานที่ตั้งของอุปกรณ์ที่ผู้ดูแลระบบกำหนดไว้
     • ${USER_EMAIL_NAME} - ส่วนแรก (ส่วนที่อยู่ก่อน @) ของอีเมลที่ผู้ใช้ลงชื่อเข้าใช้

     หากไม่มีค่าตัวยึดตำแหน่ง ระบบจะแทนที่ด้วยสตริงว่าง

   • อัลกอริทึมการลงนาม - ฟังก์ชันแฮชที่ใช้ในการเข้ารหัสคีย์การให้สิทธิ์ มีเฉพาะ SHA256 ที่มี RSA เท่านั้น

   • การใช้คีย์ - ตัวเลือกสำหรับวิธีใช้คีย์ การเข้ารหัสคีย์ และการลงนาม โดยจะเลือกได้มากกว่า 1 รายการ

   • ขนาดคีย์ (บิต) - ขนาดของคีย์ RSA สำหรับอุปกรณ์ ChromeOS ให้เลือก 2048

   • สำหรับความปลอดภัย ให้เลือกประเภทเอกสารรับรองที่จะต้องใช้สำหรับอุปกรณ์ที่เชื่อมต่อ การตั้งค่านี้ไม่มีผลกับมือถือ

   • ในส่วนแอตทริบิวต์ของเซิร์ฟเวอร์ SCEP ให้กำหนดค่าและค่ากำหนดสำหรับเซิร์ฟเวอร์ SCEP

     • URL ของเซิร์ฟเวอร์ SCEP - URL ของเซิร์ฟเวอร์ SCEP
     • ระยะเวลาที่ใช้งานได้ของใบรับรอง (ปี) - ระยะเวลาที่ใบรับรองอุปกรณ์ใช้งานได้ ป้อนในรูปแบบตัวเลข
     • ต่ออายุภายในจำนวนวันที่กำหนด - ระยะเวลาก่อนที่ใบรับรองอุปกรณ์จะหมดอายุเพื่อพยายามต่ออายุใบรับรอง
     • ขยายการใช้งานคีย์ - วิธีที่คุณใช้คีย์ได้ คุณเลือกได้มากกว่า 1 ค่า
     • ประเภทคำถาม - หากต้องการให้ Google ระบุวลีคำถามที่เจาะจงเมื่อขอใบรับรองจากเซิร์ฟเวอร์ SCEP ให้เลือกคงที่ แล้วป้อนวลี หากเลือกไม่มี เซิร์ฟเวอร์จะไม่กำหนดให้มีการตรวจสอบนี้
     • ชื่อเทมเพลต - ชื่อของเทมเพลตที่เซิร์ฟเวอร์ NDES ใช้งาน
     • ผู้ออกใบรับรอง - ชื่อของใบรับรองที่คุณอัปโหลดเพื่อใช้เป็นผู้ออกใบรับรอง
     • ประเภทเครือข่ายที่ใช้กับโปรไฟล์นี้ - ประเภทเครือข่ายที่ใช้โปรไฟล์ SCEP
5. คลิกบันทึก หรือคลิกลบล้างสำหรับหน่วยขององค์กร

   หากในภายหลังต้องการกู้คืนค่าที่รับช่วงมา ให้คลิกรับค่า

หลังจากที่เพิ่มโปรไฟล์แล้ว ระบบจะแสดงโปรไฟล์นั้นพร้อมด้วยชื่อและแพลตฟอร์มที่เปิดให้ใช้งาน ในคอลัมน์แพลตฟอร์ม ระบบจะเปิดใช้โปรไฟล์ดังกล่าวสำหรับแพลตฟอร์มที่มีไอคอนสีน้ำเงินและจะปิดใช้สำหรับแพลตฟอร์มที่มีไอคอนสีเทา หากต้องการแก้ไขโปรไฟล์ ให้ชี้ไปที่แถวที่ต้องการ แล้วคลิกแก้ไข

โปรไฟล์ SCEP จะกระจายไปยังผู้ใช้ในหน่วยขององค์กรโดยอัตโนมัติ

ขั้นตอนที่ 3: กำหนดค่าคีย์สโตร์ของเครื่องมือเชื่อมต่อการรับรอง Google Cloud

หากใบรับรองของคุณออกโดย CA ที่เชื่อถือได้หรือ URL ของเซิร์ฟเวอร์ SCEP ขึ้นต้นด้วย HTTP ให้ข้ามขั้นตอนนี้

หากใบรับรองไม่ได้ออกโดย CA ที่เชื่อถือได้ เช่น ใบรับรองที่รับรองด้วยตนเอง คุณต้องนำเข้าใบรับรองไปยังคีย์สโตร์ของเครื่องมือเชื่อมต่อใบรับรอง Google Cloud ไม่เช่นนั้น ระบบจะจัดสรรใบรับรองอุปกรณ์ไม่ได้และอุปกรณ์จะเชื่อมต่อไม่ได้

1. ลงชื่อเข้าใช้ CA
2. หากยังไม่ได้ติดตั้ง Java JRE ให้ติดตั้งเพื่อให้คุณใช้ keytool.exe ได้
3. เปิด Command Prompt

4. ส่งออกใบรับรอง CA และแปลงเป็นไฟล์ PEM โดยใช้คำสั่งต่อไปนี้

   certutil ‑ca.cert C:\root.cer
   certutil ‑encode cacert.cer cacert.pem

5. นำเข้าใบรับรอง CA ไปยังคีย์สโตร์ จากไดเรกทอรีย่อยของโฟลเดอร์ Google Cloud Certificate Connector ที่สร้างระหว่างการติดตั้ง โดยทั่วไปจะอยู่ที่ C:\Program Files\Google Cloud Certificate Connector ให้เรียกใช้คำสั่งต่อไปนี้และแทนที่ java-home-dir ด้วยเส้นทางไปยัง JRE ในโฟลเดอร์ Google Cloud Certificate Connector และ cert-export-dir ด้วยเส้นทางไปยังใบรับรองที่คุณส่งออกในขั้นตอนที่ 4 java-home-dir\bin\keytool.exe ‑import ‑keystore rt\lib\security\cacerts ‑trustcacerts ‑file cert-export-dir\cacert.pem ‑storepass changeit

ขั้นตอนที่ 4: กำหนดค่าเครือข่ายให้ต้องใช้โปรไฟล์ SCEP (ไม่บังคับ)

คุณสามารถตั้งค่าให้ต้องใช้โปรไฟล์ SCEP ได้ ทั้งนี้ขึ้นอยู่กับประเภทเครือข่าย

วิธีการตรวจสอบสิทธิ์ใบรับรองผ่าน Google Cloud Certificate Connector

Google Cloud Certificate Connector เป็นบริการของ Windows ที่สร้างการเชื่อมต่อเฉพาะระหว่างเซิร์ฟเวอร์ SCEP กับ Google เครื่องมือเชื่อมต่อใบรับรองได้รับการกำหนดค่าและรักษาความปลอดภัยด้วยไฟล์การกำหนดค่าและไฟล์คีย์ ซึ่งทั้ง 2 ไฟล์มีไว้สำหรับองค์กรของคุณเท่านั้น

คุณจะกําหนดใบรับรองอุปกรณ์ให้กับอุปกรณ์และผู้ใช้ที่มีโปรไฟล์ SCEP ได้ หากต้องการมอบหมายโปรไฟล์ ให้เลือกหน่วยขององค์กรและเพิ่มโปรไฟล์ลงในหน่วยขององค์กรนั้น โดยโปรไฟล์นี้ประกอบด้วยผู้ออกใบรับรองที่ออกใบรับรองอุปกรณ์ เมื่อผู้ใช้ลงทะเบียนมือถือหรืออุปกรณ์ ChromeOS เพื่อรับการจัดการ การจัดการอุปกรณ์ปลายทางของ Google จะดึงโปรไฟล์ SCEP ของผู้ใช้และติดตั้งใบรับรองในอุปกรณ์ สำหรับอุปกรณ์ ChromeOS ระบบจะติดตั้งใบรับรองอุปกรณ์ก่อนที่ผู้ใช้จะลงชื่อเข้าใช้ ส่วนใบรับรองผู้ใช้จะติดตั้งหลังจากที่ผู้ใช้ลงชื่อเข้าใช้ หากมีการลงทะเบียนอุปกรณ์แล้ว ระบบจะติดตั้งใบรับรองเป็นส่วนหนึ่งของรอบการซิงค์ปกติ

เมื่อผู้ใช้พยายามเชื่อมต่อกับเครือข่ายของคุณ ระบบจะแจ้งให้ผู้ใช้ระบุใบรับรอง ในอุปกรณ์ Android ระบบจะเลือกใบรับรองโดยอัตโนมัติและผู้ใช้จะคลิกเชื่อมต่อ ในอุปกรณ์ iOS ผู้ใช้ต้องเลือกใบรับรองด้วยตนเองแล้วจึงเชื่อมต่อ อุปกรณ์จะเข้าถึงเครือข่ายขององค์กรโดยใช้คีย์ที่ Google เจรจาผ่านเครื่องมือเชื่อมต่อใบรับรอง Google จะจัดเก็บคีย์ไว้ชั่วคราวในระหว่างการเจรจาด้านความปลอดภัย แต่จะลบคีย์อย่างถาวรเมื่อติดตั้งในอุปกรณ์แล้ว (หรือหลังจากผ่านไป 24 ชั่วโมง)

Google, Google Workspace รวมถึงเครื่องหมายและโลโก้ที่เกี่ยวข้องเป็นเครื่องหมายการค้าของ Google LLC ชื่อบริษัทและชื่อผลิตภัณฑ์อื่นๆ ทั้งหมดเป็นเครื่องหมายการค้าของบริษัทที่เกี่ยวข้อง