ניהול אישורים מהימנים עבור S/MIME (הגדרות מתקדמות)

התכונה הזו נתמכת במהדורות הבאות: Frontline Plus,‏ Enterprise Plus,‏ Education Fundamentals,‏ Education Standard ו-Education Plus. השוואה בין המהדורות

הצפנה ב-S/MIME באירוח והצפנה מצד הלקוח (CSE) הן תכונות של Google Workspace שמאפשרות למשתמשים לשלוח ולקבל הודעות אימייל ב-S/MIME.

‫Google מספקת דרישות לאישורים ואישורי CA מהימנים ל-S/MIME. אם האישורים לא עומדים בדרישות האלה, יכול להיות שתבחינו בכך שהודעות מסוימות לא מהימנות. כדי לפתור את הבעיה, אפשר לאשר אישורי בסיס אחרים מרשויות אישורים (CA) שאתם סומכים עליהן.

כדי לאשר אישור בסיס נוסף, מוסיפים אותו במסוף Google Admin. לאחר מכן, מציינים לפחות דומיין אחד שהאישור חל עליו. אפשר גם לשנות את רמת ההצפנה של האישור ואת פרופיל האימות.

הוראות מפורטות להפעלת S/MIME ב-Google Workspace מופיעות במאמר הפעלת S/MIME מתארח להצפנה של הודעות. מידע נוסף על CSE זמין במאמר הסבר על הצפנה מצד הלקוח.

הנושאים בדף

• הנחיות לגבי אישור בסיס
• שינוי הדומיין של אישור בסיס
• מחיקת אישור בסיס
• החלפת הודעות S/MIME בין דומיינים
• שימוש באישורים שונים לחתימה ולהצפנה
• אישור אי התאמה של אישורים (לא מומלץ)
• אישור SHA-1 (לא מומלץ)
• פתרון בעיות בהעלאת אישור בסיס

הנחיות לגבי אישור בסיס

כדי להשתמש באישורי בסיס עם S/MIME ב-Google Workspace, הם צריכים לעמוד בהנחיות הבאות:

• האישור צריך להיות בפורמט ‎ .pem ולהכיל רק אישור בסיס אחד.
• שרשרת האישורים חייבת לכלול לפחות אישור ביניים אחד.
• כל שרשרת אישורים צריכה לכלול אישור של משתמש קצה. אם הוא לא כלול, Google מבצעת אימות מינימלי.
• אישור משתמש הקצה לא צריך לכלול את המפתח הפרטי.

חשוב: בשרשרת צריך להיות לפחות אישור CA אחד ברמת ביניים. כלומר, רשות הבסיס לא יכולה להנפיק ישירות אישורים של ישויות קצה.

שינוי הדומיין של אישור בסיס

אי אפשר לערוך את תאריך התפוגה של אישור או לערוך כדי להחליף אישור. צריך למחוק את האישור ולהעלות אישור חדש. מחיקה של אישור בסיס לא תשפיע על אישורים של משתמשי קצה שכבר הועלו.

כדי לשנות את הדומיין של אישור בסיס:

1. במסוף Google Admin, עוברים להגדרה S/MIME בכרטיסייה הגדרות משתמש.
2. בטבלה של אישורי הבסיס הנוספים, בוחרים את האישור שרוצים לשנות ולוחצים על עריכה.
3. מעדכנים את הדומיין ולוחצים על שמירה.

מחיקת אישור בסיס

כדי למחוק אישור בסיס:

1. במסוף Google Admin, עוברים להגדרה S/MIME בכרטיסייה הגדרות משתמש.
2. בטבלה של אישורי הבסיס הנוספים, בוחרים את האישור שרוצים להסיר ולוחצים על מחיקה.

שימוש באישורים שונים לחתימה ולהצפנה

התכונה הזו זמינה רק עם CSE. היא לא זמינה עם S/MIME מתארח.

בדרך כלל, ארגונים משתמשים באישור יחיד לחתימה ולהצפנה של הודעות. עם זאת, אם הארגון שלכם דורש אישורים שונים לחתימה ולהצפנה של הודעות, צריך להשתמש ב-Gmail CSE API כדי להעלות את האישור הציבורי להצפנה ואת האישור הציבורי לחתימה לכל משתמש.

מידע נוסף על שימוש ב-Gmail CSE API לניהול אישורים של משתמשים

החלפת הודעות S/MIME בין דומיינים

כדי לאפשר לאנשים בדומיינים שונים להחליף הודעות S/MIME, יכול להיות שתצטרכו לבצע כמה שלבים נוספים במסוף Google Admin. פועלים לפי השלבים המומלצים כאן, בהתאם לאופן שבו מונפקים אישורי המשתמשים בדומיין.

• אישורי המשתמשים בשני הדומיינים הונפקו על ידי רשות אישורים בסיסית מהימנה: אם כל אישורי המשתמשים בשני הדומיינים הונפקו על ידי רשות אישורים בסיסית ש-Google סומכת עליה, לא צריך לבצע פעולות נוספות. אישורי CA בסיסיים אלה תמיד מהימנים ב-Gmail.

• אישורי המשתמשים בשני הדומיינים הונפקו על ידי אותו CA בסיסי לא מהימן: במקרה הזה, CA בסיסי לא מהימן הנפיק את אישורי המשתמשים בדומיין שלכם ובדומיין שאיתו אתם רוצים להחליף הודעות S/MIME.

  מוסיפים את רשות האישורים הבסיסית הלא מהימנה למסוף Google Admin, לפי השלבים במאמר הפעלת S/MIME מתארח. בתיבה הוספת אישור בסיס, מזינים את הדומיין השני בשדה רשימת כתובות.

• אישורי משתמשים של דומיין אחד שהונפקו על ידי רשות אישורים בסיסית לא מהימנה: במקרה הזה, אישורי משתמשים של דומיין אחד מונפקים על ידי רשות אישורים בסיסית לא מהימנה. אישורי המשתמשים בדומיין השני מונפקים על ידי רשות אישורים בסיסית (root CA) אחרת.

  מוסיפים את רשות האישורים הבסיסית של הדומיין השני למסוף Google Admin, לפי השלבים במאמר הפעלה של S/MIME מתארח. בתיבה הוספת אישור בסיס, מזינים את הדומיין השני בשדה רשימת כתובות.

להשתמש רק כשצריך

משתמשים באפשרויות של האישורים שבקטע הזה רק כשצריך, ומוודאים שאתם מבינים את ההשפעות האפשריות של השימוש בהן.

פתרון בעיות בהעלאת אישורים

אם נתקלתם בבעיות בהעלאת אישורים, כדאי לעיין בסיבות האפשריות הבאות ולנסות את הפתרונות המומלצים:

האישור לא עומד בדרישות המינימליות כדי להיחשב מהימן

מוודאים שהאישור לא נחתם על ידי עצמו, שהוא לא בוטל ואורך המפתח הוא 1, 024 ביט או יותר. אחר כך נסו להעלות שוב.

עורכים את האישור כדי לשנות את הדומיינים ברשימת הכתובות. לדוגמה, אם העליתם אישורים מותאמים אישית וההודעות עדיין נחשבות ללא מהימנות, נסו לערוך את רשימת הדומיינים המותרים של האישור.

החתימה של האישור לא תקינה

צריך לוודא שיש לחתימה אישור תקין ולנסות להעלות שוב.

אישור לא בתוקף

מוודאים שהתאריך שמופיע באישור נמצא בטווח התאריכים שצוין בשדות Not Before (Date) ו-Not After (Date). אחר כך נסו להעלות שוב.

לשרשרת האישורים יש לפחות אישור אחד לא תקף.

צריך לוודא שהפורמט של האישור תקין ולנסות להעלות אותו שוב.

האישור מכיל כמה אישורי בסיס

אי אפשר להעלות אישור שמכיל יותר מאישור בסיס אחד. מוודאים שיש רק אישור בסיס אחד, ואז מנסים להעלות שוב.

לא הצלחנו לנתח את האישור

צריך לוודא שהפורמט של האישור תקין ואז לנסות להעלות אותו שוב.

השרת מחזיר תגובה לא ידועה

צריך לוודא שהפורמט של האישור תקין ואז לנסות להעלות אותו שוב.

אי אפשר להעלות אישור

יכול להיות שהייתה בעיה בחיבור לשרת. בדרך כלל זו בעיה זמנית. כדאי לחכות כמה דקות ולנסות להעלות שוב. אם ההעלאה ממשיכה להיכשל, צריך לוודא שהאישור מפורמט בצורה נכונה.

נושאים קשורים

איך מפעילים S/MIME מתארח להצפנה של הודעות