Mobiele apparaten: Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Endpoint Education Upgrade en Cloud Identity Premium. Versies vergelijken
ChromeOS-apparaten: Chrome Enterprise is vereist voor op apparaten gebaseerde certificaten.
U kunt de toegang van gebruikers tot de wifi- en ethernetnetwerken, Virtual Private Networks (VPN's) en interne apps en websites van uw organisatie op mobiele apparaten en ChromeOS-apparaten beheren door certificaten van uw lokale certificeringsinstantie (CA) te distribueren. De Google Cloud Certificate Connector is een Windows-service die certificaten en verificatiesleutels veilig distribueert van uw Simple Certificate Enrollment Protocol-server (SCEP) naar de mobiele en ChromeOS-apparaten van gebruikers. Ga naar Hoe certificaatverificatie via Google Cloud Certificate Connector werkt op deze pagina voor meer informatie.
Voor ChromeOS-apparaten kunt u op gebruikers gebaseerde of op apparaten gebaseerde certificaten instellen. Een gebruikerscertificaat wordt toegevoegd aan een apparaat voor een specifieke gebruiker en is toegankelijk voor die specifieke gebruiker. Een apparaatcertificaat wordt toegewezen op basis van het apparaat en is toegankelijk voor elke gebruiker die is ingelogd op het apparaat. Ga naar Clientcertificaten beheren op Chrome-apparaten voor meer informatie.
Als u de toegang tot het wifi-netwerk wilt beheren voor zowel mobiele als ChromeOS-apparaten, moet u afzonderlijke SCEP-profielen en wifi-netwerken instellen, omdat mobiele apparaten en ChromeOS-apparaten verschillende RSA-sleuteltypen ondersteunen.
Opmerkingen over sleutelopslag:
- Voor mobiele apparaten worden privésleutels voor de certificaten gemaakt op Google-servers. De sleutels worden definitief van de Google-servers verwijderd nadat het certificaat op het apparaat is geïnstalleerd of na 24 uur, afhankelijk van wat als eerste gebeurt.
- Op ChromeOS-apparaten wordt er een privésleutel voor de certificaten gemaakt. De bijbehorende openbare sleutel wordt tijdelijk opgeslagen op de servers van Google en wordt definitief verwijderd nadat het certificaat is geïnstalleerd.
Systeemvereisten
- Microsoft Active Directory Certificate Services voor een SCEP-server en de Microsoft Network Device Enrollment-service (NDES) om certificaten te distribueren.
- Mobiele apparaten: iOS- en Android-apparaten met geavanceerd mobiel beheer. Meer informatie over apparaatvereisten.
ChromeOS-apparaten:
- Apparaatcertificaten: ChromeOS-versie 89 of hoger en beheerd met Chrome Enterprise
Gebruikerscertificaten: ChromeOS-versie 86 of hoger.
Opmerking: Voor versies ouder dan 87 moeten gebruikers het apparaat opnieuw opstarten of een paar uur wachten tot het gebruikerscertificaat is geïmplementeerd.
Voordat u begint
- Als je wilt dat de onderwerpnaam van het certificaat Active Directory-gebruikersnamen gebruikt, moet je je Active Directory en Google Directory synchroniseren met Google Cloud Directory Sync (GCDS). Stel indien nodig GCDS in.
- Als u nog geen CA-certificaat heeft geüpload in de Google Beheerdersconsole, voegt u een certificaat toe.
- Neem de bekende problemen door om onverwacht gedrag te voorkomen.
Bekende problemen
- Certificaten kunnen niet worden ingetrokken nadat ze op een apparaat zijn geïnstalleerd.
- SCEP-profielen ondersteunen geen dynamische challenges.
- In sommige gevallen kan de overname van SCEP-profielen tussen organisatie-eenheden worden verbroken. Als u bijvoorbeeld een SCEP-profiel instelt voor een organisatie-eenheid en het SCEP-profiel van een onderliggende organisatie-eenheid wijzigt, kan geen van de SCEP-profielen van de bovenliggende organisatie-eenheid meer worden overgenomen door de onderliggende organisatie-eenheid.
- Op mobiele apparaten kunnen SCEP-profielen niet worden toegepast op VPN- of ethernetconfiguraties, alleen op wifi.
- Op ChromeOS-apparaten kunnen SCEP-profielen niet rechtstreeks worden toegepast op VPN- of ethernetconfiguraties. Als u een SCEP-profiel indirect wilt toepassen op VPN- of ethernetconfiguraties, gebruikt u uitgever- of onderwerp-patronen om automatisch te selecteren welk certificaat moet worden gebruikt.
- Voor gebruikers van ChromeOS-apparaten kunnen certificaten alleen worden geïmplementeerd voor gebruikers die zijn ingelogd op een beheerd apparaat. De gebruiker en het apparaat moeten bij hetzelfde domein horen.
Stap 1: De Google Cloud Certificate Connector downloaden
Voer de volgende stappen uit op de SCEP-server of op een Windows-computer met een account waarmee kan worden ingelogd als een service op de SCEP-server. Zorg dat je de inloggegevens van het account bij de hand hebt.
Als je organisatie meerdere servers heeft, kun je op alle servers dezelfde certificaatconnectoragent gebruiken. Download en installeer het installatiebestand, het configuratiebestand en het sleutelbestand op één computer, zoals beschreven in de volgende stappen. Kopieer die 3 bestanden naar de andere computer en volg de installatie-instructies op die computer.
Opmerking: Je downloadt de Google Cloud Certificate Connector en de bijbehorende componenten slechts één keer, namelijk als je voor de eerste keer certificaten instelt voor je organisatie. Je certificaten en SCEP-profielen kunnen een Certificate Connector delen.
-
Ga in de Google Beheerdersconsole naar Menu
Apparaten
Netwerken.Hiervoor is het beheerdersrecht Instellingen voor gedeelde apparaten vereist.
- Klik op Veilige SCEP Connector downloaden.
- Klik in het gedeelte Google Cloud Certificate Connector op Downloaden.
- Klik op de pagina Google Cloud Certificate Connector op Downloaden om het bestand connector_installer.exe te downloaden.
- Sluit de pagina Bedankt dat u de Google Cloud Certificate Connector heeft gedownload.
- Klik in de Beheerdersconsole in het gedeelte Het configuratiebestand van de connector downloaden op Downloaden om het bestand config.json te downloaden.
- Klik in het gedeelte Een serviceaccountsleutel ophalen op Sleutel genereren om het bestand key.json te downloaden.
Voer connector_installer.exe uit als beheerder.
Opmerking: Het installatieprogramma registreert de connectorservice met standaard inloggegevens (LocalService). Later kunt u de service wijzigen zodat deze wordt uitgevoerd als een ander serviceaccount. Ga hiervoor naar de installatiemap voor de connector en voer configtool.exe uit om de ConfigTool te openen.
Verplaats de configuratie- en sleutelbestanden (config.json en key.json) naar de Google Cloud Certificate Connector-map die tijdens de installatie is gemaakt. Dit is meestal C:\Program Files\Google Cloud Certificate Connector.
Open de Google Cloud Certificate Connector-service:
- Open Windows-services.
- Selecteer Google Cloud Certificate Connector in de lijst met services.
- Klik op Starten om de service te starten. Controleer of de status wordt gewijzigd in Actief. De service wordt automatisch opnieuw opgestart als de computer opnieuw wordt opgestart.
Als je later een nieuwe serviceaccountsleutel downloadt, start je de service opnieuw om deze toe te passen.
Stap 2: Een SCEP-profiel toevoegen
Het SCEP-profiel definieert het certificaat waarmee gebruikers toegang krijgen tot je wifi- of ethernetnetwerk of VPN. U wijst het profiel toe aan specifieke gebruikers door het toe te voegen aan een organisatie-eenheid. U kunt verschillende SCEP-profielen instellen om de toegang per organisatie-eenheid en per apparaattype te beheren. We raden u aan een afzonderlijk SCEP-profiel in te stellen voor elke organisatie-eenheid waarop u het profiel wilt toepassen.
Voordat u begint: Als u een afdeling of team wilt instellen voor deze instelling, gaat u naar Een organisatie-eenheid toevoegen.
-
Ga in de Google Beheerdersconsole naar Menu
Apparaten
Netwerken.Hiervoor is het beheerdersrecht Instellingen voor gedeelde apparaten vereist.
- (Optioneel) Als je de instelling wilt toepassen op een afdeling of team, selecteer je aan de zijkant een organisatie-eenheid.
- Klik bij Veilige SCEP op Veilig SCEP-profiel maken. Als u al een SCEP-profiel heeft gemaakt, klikt u op Veilig SCEP Veilig SCEP-profiel toevoegen.
Voer de configuratiegegevens voor het profiel in. Als uw CA een bepaalde template uitgeeft, moet u zorgen dat de gegevens in het profiel hetzelfde zijn als in de template.
- Platforms waarvoor dit profiel geldt: De apparaatplatforms waarop het SCEP-profiel wordt gebruikt. Zorg voor ChromeOS-apparaten dat u Chromebook (gebruiker), Chromebook (apparaat) of beide aanvinkt, afhankelijk van het type certificaat dat u wilt implementeren.
- SCEP-profielnaam: Een beschrijvende naam voor het profiel. De naam wordt getoond in de lijst met profielen en in de profielkiezer in de configuratie van het wifi-netwerk.
- Indeling van onderwerpnaam: Kies hoe je de eigenaar van het certificaat wilt identificeren. Als je Volledige DN-naam selecteert, is de algemene naam van het certificaat de gebruikersnaam van de gebruiker.
Alternatieve naam onderwerp: Geef een alternatieve naam op. De standaard is Geen. Voor ChromeOS-apparaten kunt u alternatieve namen voor het onderwerp definiëren op basis van gebruikers- en apparaatkenmerken. Als u een aangepast certificaatondertekeningsverzoek (Certificate Signing Request, CSR) wilt gebruiken, configureert u de certificaattemplate op de CA zodat een certificaat wordt verwacht en gegenereerd met de onderwerpwaarden uit het verzoek zelf. U moet minimaal een waarde invoeren voor de CommonName van het onderwerp.
Je kunt de volgende tijdelijke aanduidingen gebruiken. Alle waarden zijn optioneel.
- ${DEVICE_DIRECTORY_ID}: De directory-ID van het apparaat.
- ${USER_EMAIL}: E-mailadres van de ingelogde gebruiker
- ${USER_EMAIL_DOMAIN}: De domeinnaam van de ingelogde gebruiker
- ${DEVICE_SERIAL_NUMBER}: Het serienummer van het apparaat.
- ${DEVICE_ASSET_ID}: De item-ID die is toegewezen aan het apparaat door de beheerder.
- ${DEVICE_ANNOTATED_LOCATION}: De locatie die is toegewezen aan het apparaat door de beheerder.
- ${USER_EMAIL_NAME}: Het eerste deel van het e-mailadres van de ingelogde gebruiker (vóór de @)
Als er geen waarde van tijdelijke aanduiding beschikbaar is, wordt deze vervangen door een lege tekenreeks.
Ondertekeningsalgoritme: De hash-functie waarmee de verificatiesleutel wordt versleuteld. Alleen SHA256 met RSA is beschikbaar.
Sleutelgebruik: Opties voor het gebruik van de sleutel, sleutelversleuteling en ondertekening. U kunt meerdere partners selecteren.
Sleutelgrootte (bits): De grootte van de RSA-sleutel. Selecteer 2048 voor ChromeOS-apparaten.
Selecteer bij Beveiliging het type attest dat vereist is voor verbonden apparaten. Deze instelling is niet van toepassing op mobiele apparaten.
Configureer in het gedeelte SCEP-serverkenmerken waarden en voorkeuren voor de SCEP-server.
- URL SCEP-server: De URL van de SCEP-server.
- Geldigheidsduur van certificaat (jaren): Hoelang het apparaatcertificaat geldig is. Voer een getal in.
- Verlengen binnen dagen: Hoelang voordat het apparaatcertificaat verloopt, moet worden geprobeerd het certificaat te verlengen.
- Uitgebreid sleutelgebruik: Hoe de sleutel kan worden gebruikt. U kunt meerdere waarden kiezen.
- Challenge-type: Als je wilt dat Google een opgegeven challenge-zin verstrekt wanneer deze een certificaat aanvraagt bij de SCEP-server, selecteer je Statisch en voer je de zin in. Als je Geen selecteert, vereist de server deze controle niet.
- Naam template: De naam van de template die wordt gebruikt door uw NDES-server.
- Certificeringsinstantie: De naam van een certificaat dat u heeft geüpload voor gebruik als certificeringsinstantie.
- Netwerktype waarvoor dit profiel geldt: Het type van de netwerken die het SCEP-profiel gebruiken.
-
Klik op Opslaan. U kunt ook op Overschrijven klikken voor een organisatie-eenheid.
Als u de overgenomen waarde later wilt herstellen, klikt u op Overnemen.
Nadat u een profiel heeft toegevoegd, wordt het weergegeven met de naam en de platforms waarop het aanstaat. In de kolom Platform staat het profiel aan voor platforms met een blauwe icoon en uit voor platforms met een grijs icoon. Als u een profiel wilt bewerken, plaatst u de muisaanwijzer op de rij en klikt u op Bewerken 
.
Het SCEP-profiel wordt automatisch gedistribueerd naar gebruikers in de organisatie-eenheid.
Stap 3: Stel de keystore van de Google Cloud Certificate Connector in
Sla deze stap over als uw certificaat is uitgegeven door een vertrouwde certificeringsinstantie of als de URL van uw SCEP-server begint met HTTP.
Als uw certificaat niet is uitgegeven door een vertrouwde CA, zoals een zelfondertekend certificaat, moet u het certificaat importeren in de sleutelopslag van de Google Cloud Certificate Connector. Anders kan het apparaatcertificaat niet worden geregistreerd en kan het apparaat geen verbinding maken.
- Log in bij uw CA.
- Als er nog geen Java JRE is geïnstalleerd, installeer je er een zodat je keytool.exe kunt gebruiken.
- Open een opdrachtprompt.
Exporteer uw CA-certificaat en converteer het naar een PEM-bestand door de volgende opdrachten uit te voeren:
certutil ‑ca.cert C:\root.cer
certutil ‑encode cacert.cer cacert.pemImporteer het CA-certificaat naar de keystore. Voer de volgende opdracht uit vanuit de subdirectory van de Google Cloud Certificate Connector-map die tijdens de installatie is gemaakt (meestal C:\Program Files\Google Cloud Certificate Connector). Vervang java-home-dir door het pad naar de JRE in de Google Cloud Certificate Connector-map en cert-export-dir door het pad naar het certificaat dat u in stap 4 heeft geëxporteerd: java-home-dir\bin\keytool.exe ‑import ‑keystore rt\lib\security\cacerts ‑trustcacerts ‑file cert-export-dir\cacert.pem ‑storepass changeit
Stap 4: Netwerken instellen om het SCEP-profiel te vereisen (optioneel)
Afhankelijk van het type netwerk kunt u instellen dat het SCEP-profiel is vereist.
SCEP-profiel vereisen voor wifi-netwerken
Als u de toegang tot het wifi-netwerk wilt beheren voor zowel mobiele als ChromeOS-apparaten, stelt u voor elk een afzonderlijk wifi-netwerk in. Stel bijvoorbeeld één wifi-netwerk in voor mobiele apparaten en wijs er een SCEP-profiel aan toe voor mobiele apparaten. Stel daarna een ander wifi-netwerk in voor ChromeOS-apparaten en wijs een SCEP-profiel toe voor ChromeOS-apparaten.
Voordat u begint: Als u een afdeling of team wilt instellen voor deze instelling, gaat u naar Een organisatie-eenheid toevoegen.
-
Ga in de Google Beheerdersconsole naar Menu
Apparaten
Netwerken.Hiervoor is het beheerdersrecht Instellingen voor gedeelde apparaten vereist.
- (Optioneel) Als je de instelling wilt toepassen op een afdeling of team, selecteer je aan de zijkant een organisatie-eenheid.
- Wifi: Klik op Wifi-netwerk maken. Als je al een wifi-netwerk hebt ingesteld, klik je op Wifi Wifi toevoegen.
- Vink in het gedeelte Platformtoegang de vakjes aan die u nodig heeft: Android, iOS, Chromebooks (per gebruiker), Chromebooks (per apparaat) of Google Meet-hardware.
- In het gedeelte Details:
- Voer een naam en SSID in voor het wifi-netwerk.
- Selecteer bij Beveiligingsinstellingen de optie WPA/WPA2 Enterprise (802.1 X) of Dynamic WEP (802.1 X).
- Selecteer bij Extensible Authentication Protocol de optie EAP-TLS of EAP-TTLS.
- Als u EAP-TLS heeft geselecteerd, selecteert u bij Registratietype de optie SCEP-profiel of Certificaatpatroon en kiest u een optie:
- Selecteer bij SCEP-profiel het SCEP-profiel dat u in stap 2 heeft toegevoegd.
- Voer bij Certificaatpatroon een waarde in bij URL's voor clientinschrijving en een of meer waarden bij Patroon uitgever of Patroon onderwerp.
- Voer waarden in of selecteer opties voor andere wifi-gegevens die u nodig heeft.
- Klik op Opslaan.
- Deel informatie met uw gebruikers over hoe ze verbinding maken met het netwerk:
- Elke keer dat de gebruiker verbinding probeert te maken met het wifi-netwerk moet het apparaat het certificaat leveren.
- Op Android- en ChromeOS-apparaten worden het certificaat dat overeenkomt met het SCEP-profiel van de gebruiker en het netwerk automatisch ingevoerd, zodat de gebruiker alleen op Verbinding maken hoeft te klikken.
- Op iOS-apparaten kiest de gebruiker het certificaat dat die wil gebruiken en klikt die op Verbinden.
SCEP-profiel vereisen voor ethernetnetwerken
U kunt de toegang tot ethernetnetwerken beheren voor ChromeOS-apparaten. U stelt het netwerk in voor de apparaten en wijst er een SCEP-profiel aan toe.
Voordat u begint: Als u een afdeling of team wilt instellen voor deze instelling, gaat u naar Een organisatie-eenheid toevoegen.
-
Ga in de Google Beheerdersconsole naar Menu
Apparaten
Netwerken.Hiervoor is het beheerdersrecht Instellingen voor gedeelde apparaten vereist.
- (Optioneel) Als je de instelling wilt toepassen op een afdeling of team, selecteer je aan de zijkant een organisatie-eenheid.
- Ethernet: Klik op Ethernet-netwerk maken. Als je al een ethernet-netwerk hebt ingesteld, klik je op Ethernet Ethernet toevoegen.
- Vink in het gedeelte Platformtoegang de vakjes aan die u nodig heeft: Chromebooks (per gebruiker), Chromebooks (per apparaat) of Google Meet-hardware.
- In het gedeelte Details:
- Voer een naam in voor het ethernet-netwerk.
- Selecteer bij Verificatie de optie Enterprise (802.1X).
- Selecteer bij Extensible Authentication Protocol de optie EAP-TLS of EAP-TTLS.
- Als u EAP-TLS heeft geselecteerd, selecteert u bij Registratietype de optie SCEP-profiel of Certificaatpatroon en kiest u een optie:
- Selecteer bij SCEP-profiel het SCEP-profiel dat u in stap 2 heeft toegevoegd.
- Voer bij Certificaatpatroon een waarde in voor URL's voor clientinschrijving en een of meer waarden voor Patroon uitgever of Patroon onderwerp.
- Voer waarden in of selecteer opties voor andere ethernetgegevens die u nodig heeft.
- Klik op Opslaan.
- Deel informatie met uw gebruikers over hoe ze verbinding maken met het netwerk:
- Elke keer dat de gebruiker verbinding probeert te maken met het ethernetnetwerk moet het apparaat het certificaat leveren.
- Het certificaat dat overeenkomt met hun SCEP-profiel en het netwerk worden automatisch ingevoerd op hun ChromeOS-apparaat. Ze hoeven alleen maar op Verbinding maken te klikken.
SCEP-profiel vereisen voor VPN's
U kunt de VPN-toegang voor ChromeOS-apparaten beheren. U stelt het netwerk in voor de apparaten en wijst er een SCEP-profiel aan toe.
Voordat u begint: Als u een afdeling of team wilt instellen voor deze instelling, gaat u naar Een organisatie-eenheid toevoegen.
-
Ga in de Google Beheerdersconsole naar Menu
Apparaten
Netwerken.Hiervoor is het beheerdersrecht Instellingen voor gedeelde apparaten vereist.
- (Optioneel) Als je de instelling wilt toepassen op een afdeling of team, selecteer je aan de zijkant een organisatie-eenheid.
- VPN: Klik op VPN-netwerk maken. Als u al een VPN heeft ingesteld, klikt u op VPN VPN toevoegen.
- Vink in het gedeelte Platformtoegang de vakjes aan die u nodig heeft: Chromebooks (per gebruiker) of Chromebooks (per apparaat).
- In het gedeelte Details:
- Voer een naam en een externe host in voor het VPN.
- Selecteer bij VPN-type het gewenste VPN-type en voer de gegevens voor dat type in.
- Als u OpenVPN heeft geselecteerd en het vakje Clientcertificaat gebruiken heeft aangevinkt, selecteert u bij Registratietype de optie SCEP-profiel of Certificaatpatroon en kiest u een optie:
- Selecteer bij SCEP-profiel het SCEP-profiel dat u in stap 2 heeft toegevoegd.
- Voer bij Certificaatpatroon een waarde in voor URL's voor clientinschrijving en een of meer waarden voor Patroon uitgever of Patroon onderwerp.
- Voer waarden in of selecteer opties voor andere VPN-gegevens die u nodig heeft.
- Klik op Opslaan.
- Deel informatie met uw gebruikers over hoe ze verbinding maken met het netwerk:
- Elke keer dat de gebruiker verbinding probeert te maken met het VPN moet het apparaat het certificaat leveren.
- Het certificaat dat overeenkomt met hun SCEP-profiel en het netwerk worden automatisch ingevoerd op hun ChromeOS-apparaat. Ze hoeven alleen maar op Verbinding maken te klikken.
Hoe certificaatverificatie via Google Cloud Certificate Connector werkt
De Google Cloud Certificate Connector is een Windows-service die een exclusieve verbinding tussen je SCEP-server en Google tot stand brengt. De certificaatconnector wordt ingesteld en beveiligd door een configuratiebestand en een sleutelbestand, die beide alleen voor je organisatie zijn bedoeld.
U wijst apparaatcertificaten toe aan apparaten en gebruikers met SCEP-profielen. Als u het profiel wilt toewijzen, voegt u het profiel toe aan de gewenste organisatie-eenheid. Het profiel bevat de certificeringsinstantie die apparaatcertificaten uitgeeft. Als een gebruiker een mobiel of ChromeOS-apparaat inschrijft voor beheer, haalt Google-eindpuntbeheer het SCEP-profiel van de gebruiker op en wordt het certificaat op het apparaat geïnstalleerd. Voor ChromeOS-apparaten wordt een apparaatcertificaat geïnstalleerd voordat de gebruiker inlogt, terwijl een gebruikerscertificaat wordt geïnstalleerd nadat de gebruiker is ingelogd. Als het apparaat al is ingeschreven, wordt het certificaat geïnstalleerd als onderdeel van de normale synchronisatiecyclus.
Als een gebruiker verbinding probeert te maken met je netwerk, wordt deze gevraagd het certificaat te verstrekken. Op Android-apparaten wordt het certificaat automatisch geselecteerd en klikt de gebruiker op Verbinding maken. Op iOS-apparaten moet de gebruiker het certificaat handmatig selecteren en dan verbinding maken. Het apparaat krijgt toegang tot het netwerk van je organisatie via een sleutel die door Google is onderhandeld via de certificaatconnector. Google slaat de sleutel tijdelijk op tijdens de beveiligingsonderhandeling, maar verwijdert de sleutel zodra deze op het apparaat is geïnstalleerd (of na 24 uur).
Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.