Utgåvor som stöds för den här funktionen: Frontline Plus, Enterprise Plus, Education Fundamentals, Education Standard och Education Plus. Jämför utgåvor
Värdbaserad S/MIME och kryptering på klientsidan (CSE) är Google Workspace-funktioner som gör att användarna kan skicka och ta emot S/MIME-e-postmeddelanden.
Google tillhandahåller certifikatkrav och betrodda CA-certifikat för S/MIME. Om dina certifikat inte uppfyller dessa krav kan du märka att vissa meddelanden inte är betrodda. För att åtgärda detta kan du acceptera andra rotcertifikat från rotcertifikatutfärdare (CA) som du litar på.
Om du vill godkänna ett ytterligare rotcertifikat lägger du till det i Googles administratörskonsol. Ange sedan minst en domän som certifikatet gäller för. Du kan även justera certifikatets krypteringsnivå och valideringsprofil.
Detaljerade anvisningar om hur du aktiverar S/MIME i Google Workspace finns i Aktivera värdbaserad S/MIME för meddelandekryptering. Mer information om CSE finns i Om kryptering på klientsidan.
På den här sidan
- Riktlinjer för rotcertifikat
- Ändra domänen för ett rotcertifikat
- Radera ett rotcertifikat
- Utbyta S/MIME-meddelanden mellan domäner
- Använda olika certifikat för signering och kryptering
- Tillåt certifikatmismatchning (rekommenderas inte)
- Tillåt SHA-1 (rekommenderas inte)
- Felsöka problem med uppladdning av rotcertifikat
Riktlinjer för rotcertifikat
Rotcertifikat måste följa dessa riktlinjer för att kunna användas med S/MIME i Google Workspace:
- Certifikatet måste vara i .pem-format och endast innehålla ett rotcertifikat.
- Certifikatkedjan måste innehålla minst ett mellanliggande certifikat.
- Varje certifikatkedja ska ha ett slutanvändarcertifikat. Om det inte anges kan Google genomföra minimal verifiering.
- Slutanvändarcertifikatet ska inte innehålla den privata nyckeln.
Obs! Minst ett mellanliggande CA-certifikat måste finnas i kedjan. Detta innebär att certifikat för slutenheter inte får utfärdas direkt av roten.
Ändra domänen för ett rotcertifikat
Du kan inte redigera ett certifikats utgångsdatum eller redigera för att ersätta ett certifikat. Du måste radera certifikatet och ladda upp ett nytt. Om du raderar ett rotcertifikat påverkas inte slutanvändarcertifikat som redan har laddats upp.
Så här ändrar du domänen för ett rotcertifikat:
- Öppna inställningen S/MIME på fliken Användarinställningar i Googles administratörskonsol.
- Välj det certifikat som du vill ändra i tabellen över ytterligare rotcertifikat och klicka på Redigera.
- Uppdatera domänen och klicka på Spara.
Radera ett rotcertifikat
Så här raderar du ett rotcertifikat:
- Öppna inställningen S/MIME på fliken Användarinställningar i Googles administratörskonsol.
- I tabellen över ytterligare rotcertifikat väljer du certifikatet som du vill ta bort och klickar på Radera.
Använda olika certifikat för signering och kryptering
Den här funktionen är endast tillgänglig med CSE. Den stöds inte med värdbaserad S/MIME.
Vanligtvis använder organisationer ett enda certifikat för både signering och kryptering av meddelanden. Om organisationen kräver olika certifikat för signering och kryptering av meddelanden använder du Gmail CSE API för att ladda upp det offentliga krypteringscertifikatet och det offentliga signaturcertifikatet för varje användare.
Läs mer om att använda Gmail CSE API för att hantera användarcertifikat.
Utbyta S/MIME-meddelanden mellan domäner
Om du vill låta personer i olika domäner utbyta S/MIME-meddelanden kan du behöva göra några extra steg i Googles administratörskonsol. Följ de rekommenderade stegen här, beroende på hur användarcertifikaten utfärdas för domänen.
- Båda domänernas användarcertifikat har utfärdats av en betrodd rotcertifikatutfärdare: När alla användarcertifikat i båda domänerna har utfärdats av en rotcertifikatutfärdare som är betrodd av Google behöver du inte vidta några ytterligare åtgärder. Dessa rotcertifikat från utfärdare är alltid betrodda av Gmail.
Båda domänernas användarcertifikat har utfärdats av samma obetrodda rotcertifikatutfärdare: I det här fallet har en obetrodd rotcertifikatutfärdare utfärdat användarcertifikaten för din domän och domänen som du vill utbyta S/MIME-meddelanden med.
Lägg till den obetrodda rotcertifikatutfärdaren i Googles administratörskonsol genom att följa stegen i Aktivera värdbaserad S/MIME. Ange den andra domänen i fältet Adress lista i rutan Lägg till rotcertifikat.
En domäns användarcertifikat utfärdas av en obetrodd rotcertifikatutfärdare: I det här fallet utfärdas en domäns användarcertifikat av en obetrodd rotcertifikatutfärdare. Användarcertifikaten för den andra domänen utfärdas av en annan rotcertifikatutfärdare.
Lägg till den andra domänens rotcertifikatutfärdare i Googles administratörskonsol genom att följa stegen i Aktivera värdbaserad S/MIME. Ange den andra domänen i fältet Adress lista i rutan Lägg till rotcertifikat.
Använd endast vid behov
Använd endast certifikatalternativen i det här avsnittet när det är nödvändigt och se till att du förstår de möjliga konsekvenserna av att använda dem.
Tillåt att certifikat inte matchar (rekommenderas inte)
Ibland kan e-postadressen som är kopplad till en användares certifikat skilja sig från användarens primära e-postadress. Brandon Phams certifikat använder till exempel e-postadressen b.pham@solarmora.com, men Brandon använder adressen brandon.pham@solarmora.com för de flesta av sina jobbmeddelanden. Detta kallas en felaktig matchning av certifikat.
Viktigt: Av säkerhetsskäl rekommenderar Google att tillåta felaktig matchning av certifikat endast när den här funktionen krävs av din organisation. När det här alternativet är aktiverat kommer användare och administratörer inte att få en varning när det finns ett certifikat som inte matchar, vilket kan orsakas av en obehörig eller skadlig användare.
Alternativet Tillåt felaktig matchning av certifikat är endast tillgängligt med CSE och inte med värdbaserad S/MIME. För att ställa in CSE för att tillåta felaktig matchning av certifikat väljer för felaktig matchning av certifikat när du lägger till rotcertifikat i den värdbaserade S/MIME-inställningen. Se detaljerade anvisningar om hur du lägger till rotcertifikat.
När alternativet Tillåt att certifikatet inte matchar är valt kan mottagarna avkryptera och läsa inkommande meddelanden med ett certifikat som inte matchar. Tidigare meddelanden med certifikat som inte matchar (mottagna innan inställningen aktiverades) kan också avkrypteras och läsas. E-postadressen som är kopplad till användarens certifikat sparas dock inte i mottagarens kontakter. Använd Google Cloud Directory Sync för att synkronisera och spara e-postadresser.
Alternativet Tillåt felaktig matchning av certifikat fungerar bara för interna kontakter eller kontakter som är synkroniserade med GCDS. Det fungerar inte för externa kontakter.
Tillåt SHA-1 (rekommenderas inte)
Även om vissa e-postklienter tillåter SHA-1-hashade signaturer visas dessa signaturer som otillförlitliga. Detta beror på att SHA-1 har fasats ut på grund av säkerhetsproblem.
När du lägger till ett nytt rotcertifikat i inställningen S/MIME väljer du alternativet Tillåt SHA-1 globalt endast om
- organisationen kommunicerar med den kryptografiska hashfunktionen SHA-1 för meddelandesäkerhet med S/MIME och
- dessa meddelanden ska visas som betrodda.
När det här alternativet är valt litar Gmail på S/MIME-certifikat som är bifogade till inkommande e-post med SHA-1.
Felsöka problem med uppladdning av certifikat
Om du har problem med att ladda upp certifikat kan du läsa igenom dessa möjliga orsaker och testa de rekommenderade lösningarna:
Certifikatet uppfyller inte minimikraven för att vara betrott
Kontrollera att certifikatet inte är självsignerat, inte har återkallats och att nyckelns längd är minst 1 024 bitar. Försök sedan att ladda upp igen.
Redigera certifikatet för att ändra domänerna i adresslistan. Om du till exempel har laddat upp anpassade certifikat och meddelanden fortfarande behandlas som inte betrodda kan du testa att redigera certifikatets lista över tillåtna domäner.
Certifikatets signatur är ogiltig
Verifiera att certifikatet har en giltig signatur och försök sedan ladda upp igen.
Inaktuellt certifikat
Kontrollera att datumet på certifikatet ligger inom det datumintervall som anges i fälten Not Before (Date) och Not After (Date). Försök sedan att ladda upp igen.
Certifikatkedjan innehåller minst ett ogiltigt certifikat.
Verifiera att certifikatet är korrekt formaterat och försök sedan att ladda upp igen.
Certifikatet innehåller flera rotcertifikat
Du kan inte ladda upp ett certifikat som innehåller fler än ett rotcertifikat. Verifiera att certifikatet bara har ett rotcertifikat och försök sedan ladda upp det igen.
Det gick inte att analysera certifikatet.
Verifiera att certifikatet är korrekt formaterat och försök sedan att ladda upp igen.
Servern returnerar ett okänt svar
Verifiera att certifikatet är korrekt formaterat och försök sedan att ladda upp igen.
Det gick inte att ladda upp certifikatet.
Det kan ha varit problem med att ansluta till servern. Detta är vanligtvis ett tillfälligt problem. Vänta några minuter och försök sedan ladda upp igen. Om uppladdningen fortsätter att misslyckas kontrollerar du att certifikatet är korrekt formaterat.