Tilldela användare kryptering på klientsidan

När du har lagt till en eller flera externa nyckeltjänster i administratörskonsolen för kryptering på klientsidan (CSE) för Google Workspace måste du tilldela dem organisationsenheter eller konfigurationsgrupper. När du tilldelar en nyckeltjänst kan användare som du har lagt till i den externa tjänstens nyckelåtkomstkontrollista kryptera och dekryptera innehåll.

Om du har konfigurerat kryptering av hårdvarunycklar för Gmail CSE måste du tilldela det till organisationsenheter eller konfigurationsgrupper. Kräver tillägget Säkra kontroller eller Säkra kontroller Plus.

Användare som behöver kryptera innehåll måste också aktivera CSE. Mer information finns i Aktivera eller inaktivera kryptering på klientsidan.

Innan du börjar

Tilldela en standardnyckeltjänst

Säkerställ att CSE-tjänster fungerar korrekt i organisationen genom att göra den externa nyckeltjänsten till standardtjänst för hela organisationen. Om CSE till exempel har aktiverats för en grupp, men de använder en delad enhet i en organisationsenhet som CSE har inaktiverats för, används standardnyckeltjänsten.
När du lägger till din första nyckeltjänst i administratörskonsolen blir du ombedd att tilldela en standardtjänst i organisationsenheten på toppnivå. Om du inte har angett standardinställningen än måste du göra det innan du aktiverar CSE för användarna. Anvisningar finns i Ange standardnyckeltjänsten för organisationen senare på den här sidan.

Om du vill använda flera nyckeltjänster för olika användare

Du kan tilldela en organisationsenhet eller grupp en annan nyckeltjänst än standardtjänsten. Till exempel vill du kanske använda olika nyckeltjänster för olika platser inom organisationen.
Om innehåll redan är krypterat med den aktuella nyckeltjänsten är det bäst att migrera krypterat innehåll till den nya tjänsten. Gå till Om du vill byta till en ny nyckeltjänst senare på den här sidan.

Om du vill byta till en ny nyckeltjänst

Om du tidigare har tilldelat en nyckeltjänst för en organisationsenhet eller grupp kan du byta till en annan tjänst. Om innehåll redan har krypterats av den aktuella nyckeltjänsten rekommenderar vi att du migrerar innehållet till den nya tjänsten. Mer information finns i Migrera krypterat innehåll till en ny nyckeltjänst senare på den här sidan.
Om du byter till en ny nyckeltjänst men inte migrerar innehåll: Allt befintligt krypterat innehåll förblir krypterat enbart av den aktuella tjänsten, inte av den nya tjänsten som du har lagt till. Det innebär att du måste fortsätta använda den aktuella tjänsten för att tidigare krypterat innehåll ska förbli tillgängligt.

Tilldela kryptering med en nyckeltjänst

Ange standardnyckeltjänsten för organisationen

  1. Öppna menyn följt av Data följt av Efterlevnad följt av Kryptering på klientsidan i Googles administratörskonsol.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Klicka på Tilldela under Kryptering med extern nyckeltjänst.
  3. Välj Alla användare i kontot eller organisationsenheten på toppnivå i den vänstra panelen.
  4. Klicka på Nyckeltjänst och välj nyckeltjänsten i rullgardinsmenyn.
  5. Klicka på Spara.

Tilldela en annan nyckeltjänst för specifika användare

Om du har lagt till flera nyckeltjänster i administratörskonsolen kan du välja en annan nyckeltjänst än den nuvarande tjänsten som har tilldelats en organisationsenhet eller grupp.

Viktigt! Om innehåll redan är krypterat med den aktuella nyckeltjänsten är det bäst att migrera krypterat innehåll till den nya tjänsten för att säkerställa att befintligt innehåll som är krypterat på klientsidan förblir tillgängligt. Mer information finns i Migrera krypterat innehåll till en ny nyckeltjänst senare på den här sidan.

  1. Öppna menyn följt av Data följt av Efterlevnad följt av Kryptering på klientsidan i Googles administratörskonsol.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Klicka på Tilldela under Kryptering med extern nyckeltjänst.
  3. I den vänstra panelen väljer du en organisationsenhet eller grupp som du vill använda en annan nyckeltjänst för.
  4. Klicka på Nyckeltjänst och välj den nya nyckeltjänsten i rullgardinsmenyn.
  5. Klicka på Åsidosätt för att behålla inställningen om CSE-inställningen för den överordnade organisationsenheten ändras.
  6. Om Åsidosatt redan är inställt för organisationen väljer du ett alternativ:
    • Om du väljer Ärv återställs inställningen så att den stämmer överens med den överordnade.
    • Om du väljer Spara sparas din nya inställning (även om den överordnade inställningen ändras).
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Migrera krypterat innehåll till en ny nyckeltjänst

Om du inte längre vill använda din befintliga nyckeltjänst för att kryptera innehåll för en organisationsenhet kan du lägga till en ny tjänst, välja säkerhetskopieringstjänst och migrera det krypterade innehållet till den nya tjänsten.

Innan du startar migreringen

Vilka tjänster stöds?

För närvarande kan du migrera krypterat innehåll för följande tjänster:

  • Google Drive och Dokument
  • Google Kalender

Om du vill byta till en annan nyckeltjänst för Gmail CSE: Du måste använda Gmail API för att ladda upp ett nytt S/MIME-certifikat med nycklar som omsluts av den nya nyckeltjänsten för varje användare. Mer information finns i Endast Gmail: Konfigurera S/MIME-certifikat för kryptering på klientsidan.

Google dekrypterar inte innehåll

Under migreringen dekrypterar Google aldrig innehåll. Den nya tjänsten packar upp krypteringslagret från den tidigare tjänsten och ersätter det med ett nytt krypteringslager.

Användarna påverkas inte

Under migreringen kan användarna fortsätta att kryptera eller visa krypterat innehåll utan avbrott.

Migreringsstatus är inte tillgänglig

Status och information om eventuella problem är inte tillgänglig.

Testa migreringen på ett fåtal användare först

Vi rekommenderar att du testar migreringen på ett fåtal användare innan du kör en fullständig migrering av alla användares innehåll. Tilldela enbart en organisationsenhet eller grupp den nya nyckeln och aktivera migrering för dessa användare för att avgöra om det finns migreringsproblem.

Efter testmigreringen kan du testa att kryptera nytt innehåll med den nya nyckeltjänsten och kontrollera om du fortfarande kan komma åt och redigera tidigare krypterat innehåll.

Förkorta migreringstiden

Minimera antalet nya objekt som krypteras med den aktuella nyckeltjänsten genom att starta en full migrering under perioder med låg belastning i nätverket.

Steg 1: Lägg till den nya nyckeltjänsten i administratörskonsolen

  • Om du för närvarande bara använder en nyckeltjänst: Lägg till den nya nyckeltjänsten som primär och välj den aktuella tjänsten som reserv. Mer information finns i Lägga till en extern nyckeltjänst. Om du vill behålla åtkomsten till befintlig krypterad data måste du se till att säkerhetskopieringstjänsten är konfigurerad för att acceptera JSON Web Tokens (JWT) från den nya primära tjänsten.
  • Om en nyckeltjänst du använder har en reservtjänst: Ta bort reserven från nyckeltjänsten. Mer information finns i Ta bort reserven från en nyckeltjänst. Lägg sedan till den nya nyckeltjänsten och välj de aktuella tjänsterna som reserv.

    Viktigt! Om du för närvarande migrerar innehåll från den säkerhetskopia du behöver ta bort väntar du tills migreringen är klar. När du tar bort säkerhetskopian stoppas all migrering omedelbart. Mer information finns i Steg 4: Kontrollera om migreringen har slutförts senare på den här sidan.

Steg 2: Ersätt den nuvarande nyckeltjänsten med den nya nyckeltjänsten

När du har lagt till den nya nyckeltjänsten tilldelar du organisationsenheter eller grupper den nya nyckeltjänsten. Mer information finns i Tilldela en nyckeltjänst för kryptering på klientsidan ovan.

Steg 3: Aktivera migrering

När du har valt den nya nyckeltjänsten för en organisationsenhet eller grupp kan du aktivera migrering om det finns tjänster med tidigare krypterat innehåll som kan migreras.

Migreringstiden varierar beroende på hur mycket innehåll som har krypterats med den aktuella nyckeltjänsten och behandlingshastigheten för den nya nyckeltjänsten. Det kan ta allt från några timmar till flera dagar att se något förlopp vid migrering av innehåll.

  1. Öppna menyn följt av Data följt av Efterlevnad följt av Kryptering på klientsidan i Googles administratörskonsol.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Klicka på Tilldela under Kryptering med extern nyckeltjänst.
  3. I den vänstra panelen väljer du den organisationsenhet eller grupp för vilken du vill migrera innehåll till en ny nyckeltjänst.
  4. Under Migrering klickar du på På.

    Obs! Det här alternativet är bara tillgängligt om det finns tjänster med tidigare krypterat innehåll som anges under Migrering.

  5. I bekräftelsemeddelandet markerar du rutan för att ange att du förstår att det inte går att ångra migreringen när den har startats. Klicka sedan på Spara.

Migreringsprocessen startar.

Steg 4: Kontrollera om migreringen har slutförts

  1. Öppna menyn följt av Data följt av Efterlevnad följt av Kryptering på klientsidan i Googles administratörskonsol.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Klicka på Tilldela under Kryptering med extern nyckeltjänst.
  3. I den vänstra panelen väljer du den organisationsenhet eller grupp för vilken du vill migrera krypterat innehåll till en ny nyckeltjänst.
  4. Under Migrering kontrollerar du antalet objekt som har krypterats med den tidigare tjänsten (nu reservtjänsten).

    Om det inte finns några krypterade objekt har migreringen slutförts.

Steg 5: (Valfritt) Ta bort reservnyckeltjänsten

Om innehållsmigreringen är klar och du inte längre vill använda säkerhetskopieringstjänsten kan du ta bort den från den nya nyckeltjänsten. Mer information finns i Ta bort reserven från en nyckeltjänst.

Tilldela kryptering med hårdvarunycklar (endast Gmail)

Om du konfigurerar kryptering av hårdvarunycklar för alla eller vissa användare i organisationen för att kryptera Gmail, måste du tilldela dessa användare dem.

Om du även använder en krypteringsnyckeltjänst för Gmail kan du tilldela maskinvarunyckelkryptering till samma användare som nyckeltjänsten. Dessa användare krypterar dock Gmail med antingen nyckeltjänsten eller en maskinvarunyckel, beroende på hur du konfigurerar krypteringsnycklarna för Gmail. Mer information finns i Endast Gmail: Konfigurera S/MIME-certifikat för kryptering på klientsidan.

  1. Öppna menyn följt av Data följt av Efterlevnad följt av Kryptering på klientsidan i Googles administratörskonsol.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Klicka på Tilldela under Kryptering med hårdvarunycklar.
  3. I den vänstra panelen väljer du en organisationsenhet eller grupp som du vill använda en annan nyckeltjänst för.
  4. Klicka på Kryptering av hårdvarunyckel och markera rutan.
  5. Om du har valt en underordnad organisationsenhet klickar du på Åsidosätt för att behålla inställningen om CSE-inställningarna för den överordnade organisationsenheten ändras.
  6. Om Åsidosatt redan är inställt för organisationen väljer du ett alternativ:
    • Om du väljer Ärv återställs inställningen så att den stämmer överens med den överordnade.
    • Om du väljer Spara sparas din nya inställning (även om den överordnade inställningen ändras).
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer