Conéctate a tu proveedor de identidad para usar la encriptación del cliente

Ediciones compatibles con esta función: Frontline Plus, Enterprise Plus, Education Standard y Education Plus. Comparar tu edición

Después de elegir tu servicio de claves externo para la encriptación del lado del cliente (CSE) de Google Workspace, debes conectar Google Workspace a un proveedor de identidad (IdP), ya sea un IdP de terceros o Google Identity. Tu servicio de claves de encriptación usa tu IdP para autenticar a los usuarios antes de que puedan encriptar contenido o acceder al contenido encriptado.

Nota: Después de configurar tu IdP, puedes configurar un IdP para invitados para permitir el acceso externo al contenido con encriptación del cliente de tu organización. Para obtener más información, consulta Configura un IdP para invitados.

Antes de comenzar

Asegúrate de haber elegido el servicio de claves de encriptación que quieres usar con la CSE. Para obtener más información, consulta Elige tu servicio de claves externas.

Paso 1: Planifica tu conexión con el IdP

Revisa las aplicaciones web, para computadoras de escritorio y para dispositivos móviles, y las herramientas de utilidad compatibles

Con la conexión de tu IdP, puedes configurar la CSE para todas las aplicaciones web de Google Workspace compatibles:

  • Google Drive
  • Documentos de Google
  • Hojas de cálculo de Google
  • Presentaciones de Google
  • Gmail
  • Calendario de Google
  • Google Meet (audio, video y mensajes de chat)

Tu conexión con el IdP también te permite configurar la CSE para las siguientes aplicaciones para computadoras de escritorio y dispositivos móviles:

También puedes configurar las siguientes herramientas de utilidad:

Elige tu IdP para la CSE

Para usar un servicio de claves de encriptación con la CSE, necesitas un proveedor de identidad (IdP) que admita el estándar OpenID Connect (OIDC). Si aún no usas un IdP de OIDC con Google Workspace, puedes configurar tu IdP para usarlo con tu servicio de claves de una de las siguientes dos maneras:

Opción 1: Usa un IdP de terceros (recomendado)

Usa un IdP de terceros de OIDC si tu modelo de seguridad requiere un mayor aislamiento de tus datos encriptados de Google.

Si ya usas un IdP de terceros para el inicio de sesión único (SSO) basado en SAML, te recomendamos que uses el mismo IdP para la CSE que usas para acceder a los servicios de Google Workspace, si ese IdP admite OIDC. Obtén más información sobre cómo usar el SSO basado en SAML con Google Workspace.

Opción 2: Usa la identidad de Google

Si tu modelo de seguridad no requiere un aislamiento adicional de tus datos encriptados de Google, puedes usar la identidad de Google predeterminada como tu IdP.

Solo para IdP de terceros: Configura los navegadores de los usuarios

Si usas un IdP de terceros para la CSE, te recomendamos que permitas las cookies de terceros de tu IdP en los navegadores de tus usuarios. De lo contrario, es posible que los usuarios deban acceder a tu IdP con más frecuencia cuando usen la CSE.

  • Si tu organización usa Chrome Enterprise, puedes usar la política CookiesAllowedForUrls.
  • Para otros navegadores: Consulta el contenido de asistencia del navegador para obtener instrucciones sobre cómo permitir las cookies de terceros.

Elige cómo conectarte a tu IdP para la CSE

Puedes configurar tu IdP, ya sea un IdP de terceros o Google Identity, con un archivo .well-known que alojes en el sitio web de tu organización o en la Consola del administrador (que es tu IdP de respaldo). Hay varias consideraciones para cada método, como se describe en la siguiente tabla.

Nota: Si configuras un IdP de invitado, debes usar la Consola del administrador.

Consideraciones Configuración de .well-known Configuración de la Consola del administrador (IdP de respaldo)
Aislamiento de Google La configuración del IdP se almacena en tu propio servidor. La configuración del IdP se almacena en los servidores de Google.
Responsabilidades del administrador Un webmaster puede administrar tu configuración en lugar de un administrador avanzado de Google Workspace. Solo un administrador avanzado de Google Workspace puede administrar la configuración de tu IdP.
Disponibilidad de la CSE La disponibilidad de la CSE (tiempo de actividad) depende de la disponibilidad del servidor que aloja tu archivo .well-known. La disponibilidad de la CSE corresponde a la disponibilidad general de los servicios de Google Workspace.
Facilidad de configuración Requiere cambiar la configuración de DNS de tu servidor, fuera de la Consola del administrador. Establece la configuración en la Consola del administrador.
Uso compartido fuera de la organización El servicio de claves externo de tu colaborador puede acceder fácilmente a la configuración de tu IdP. Este acceso se puede automatizar y garantiza que el servicio de tu colaborador tenga acceso inmediato a cualquier cambio en la configuración de tu IdP.

El servicio de claves externo de tu colaborador no puede acceder a la configuración de tu IdP en la Consola del administrador. Debes proporcionar la configuración de tu IdP directamente a tu colaborador antes de compartir archivos encriptados por primera vez, así como cada vez que cambies la configuración de tu IdP.

Paso 2: Crea IDs de cliente para la CSE

Crea un ID de cliente para aplicaciones web

Debes crear un ID de cliente y agregar URIs de redireccionamiento para las aplicaciones web de Google Workspace compatibles. Para obtener una lista de las apps compatibles, consulta Aplicaciones web, para computadoras de escritorio y para dispositivos móviles compatibles más arriba en esta página.

La forma de crear un ID de cliente para aplicaciones web depende de si usas un IdP de terceros o Google Identity.

Si configuras un IdP para invitados, debes crear un ID de cliente adicional para el acceso a Google Meet, que se usa para verificar que se invitó al invitado a la reunión. Para obtener más información, consulta Configura un IdP invitado.

Si usas un IdP de terceros para la CSE

Crea un ID de cliente con la consola de administrador de tu IdP. También deberás agregar los siguientes URIs de redireccionamiento a la consola del administrador de tu IdP:

Servicios web:

  • https://client-side-encryption.google.com/callback
  • https://client-side-encryption.google.com/oidc/cse/callback
  • https://client-side-encryption.google.com/oidc/drive/callback
  • https://client-side-encryption.google.com/oidc/gmail/callback
  • https://client-side-encryption.google.com/oidc/meet/callback
  • https://client-side-encryption.google.com/oidc/calendar/callback
  • https://client-side-encryption.google.com/oidc/docs/callback
  • https://client-side-encryption.google.com/oidc/sheets/callback
  • https://client-side-encryption.google.com/oidc/slides/callback

Drive para computadoras:

http://localhost

Apps para dispositivos móviles iOS y Android:

  • https://client-side-encryption.google.com/oidc/gmail/native/callback
  • https://client-side-encryption.google.com/oidc/meet/native/callback
  • https://client-side-encryption.google.com/oidc/calendar/native/callback
  • https://client-side-encryption.google.com/oidc/drive/native/callback
  • https://client-side-encryption.google.com/oidc/gmail/meet/native/callback

Si usas Google Identity para la CSE

Debes crear un ID de cliente en la consola de Google Cloud. Lo agregarás en tu archivo .well-known/cse-configuration o en la Consola del administrador. También configurarás los orígenes de JavaScript (también llamados uso compartido de recursos entre dominios o CORS) y agregarás los URI de redireccionamiento.

  1. Ve a console.cloud.google.com.
  2. Crea un proyecto de Google Cloud nuevo. Obtén instrucciones.

    Configura el proyecto como quieras, solo es para almacenar credenciales.

  3. En la consola, ve a Menú y luego APIs y servicios y luego Credenciales.
  4. Crea un ID de cliente de OAuth para una app web nueva que usarás con la CSE. Obtén las instrucciones completas.
  5. Actualiza los orígenes de JavaScript con lo siguiente:
    • https://admin.google.com
    • https://client-side-encryption.google.com
  6. Actualiza los URIs de redireccionamiento autorizados con lo siguiente.

    Servicios web:

    • https://client-side-encryption.google.com/callback
    • https://client-side-encryption.google.com/oidc/cse/callback
    • https://client-side-encryption.google.com/oidc/drive/callback
    • https://client-side-encryption.google.com/oidc/gmail/callback
    • https://client-side-encryption.google.com/oidc/meet/callback
    • https://client-side-encryption.google.com/oidc/calendar/callback
    • https://client-side-encryption.google.com/oidc/docs/callback
    • https://client-side-encryption.google.com/oidc/sheets/callback
    • https://client-side-encryption.google.com/oidc/slides/callback

    Drive para computadoras:

    http://localhost

    Apps para dispositivos móviles iOS y Android:

    No se necesita ninguna configuración adicional para las apps para dispositivos móviles iOS y Android.

Se creará un ID de cliente de OAuth. Guarda este ID para poder agregarlo a tu archivo .well-known/cse-configuration o a la Consola del administrador.

Crea IDs de cliente para aplicaciones de escritorio y para dispositivos móviles

Si quieres que tus usuarios usen la CSE con aplicaciones para computadoras y dispositivos móviles, necesitas IDs de cliente para esas apps. Los agregarás a tu archivo .well-known/cse-configuration o a la Consola del administrador. También es posible que debas agregar los IDs de cliente a la configuración del servicio de claves. Consulta la documentación del servicio de claves.

Para cada app para dispositivos móviles, necesitarás un ID de cliente para cada plataforma (Android y iOS). Para obtener una lista de las apps compatibles, consulta Aplicaciones web, para computadoras de escritorio y para dispositivos móviles compatibles más arriba en esta página.

La forma de obtener los IDs de cliente para las aplicaciones de escritorio y para dispositivos móviles depende de si usas un IdP de terceros o Google Identity.

Nota: Estos IDs de cliente deben admitir el tipo de permiso authorization_code para PKCE (RFC 7636).

Si usarás un IdP de terceros para la CSE

Usa la consola de administración de tu IdP para generar un ID de cliente independiente para cada app.

Si usarás Google Identity para la CSE

Usa los siguientes IDs de cliente:

  • Drive para computadoras: Usa el ID de cliente 947318989803-k88lapdik9bledfml8rr69ic6d3rdv57.apps.googleusercontent.com
  • Drive en Android: Usa el ID de cliente 313892590415-6lbccuf47cou4q45vanraqp3fv5jt9do.apps.googleusercontent.com
  • Drive en iOS: Usa el ID de cliente 313892590415-d3h1l7kl4htab916r6jevqdtu8bfmh9m.apps.googleusercontent.com
  • Calendario en Android: Usa el ID de cliente 313892590415-q84luo8fon5pn5vl8a6rppo1qvcd3qvn.apps.googleusercontent.com
  • Calendario en iOS: Usa el ID de cliente 313892590415-283b3nilr8561tedgu1n4dcm9hd6g3hr.apps.googleusercontent.com
  • Gmail en Android: Usa el ID de cliente 313892590415-samhd32i4piankgs42o9sit5e9dug452.apps.googleusercontent.com
  • Gmail en iOS: Usa el ID de cliente 313892590415-ijvjpbnsh0gauuunjgsdn64ngg37k6rc.apps.googleusercontent.com
  • Meet en Android: Usa el ID de cliente 313892590415-i06v47su4k03ns7ot38akv7s9ari5oa5.apps.googleusercontent.com
  • Meet en iOS: Usa el ID de cliente 313892590415-32ha2bvs0tr1b12s089i33o58hjvqt55.apps.googleusercontent.com

Crea IDs de cliente para las herramientas de utilidad

Te recomendamos que hagas lo siguiente:

  1. Usa un ID de cliente para cada herramienta de utilidad que interactúe con los extremos con privilegios (privilegedwrap, privilegedunwrap, privilegedprivatekeydecrypt) de tu servicio de claves. Para obtener una lista de las herramientas compatibles, consulta Revisa las aplicaciones web, de escritorio y para dispositivos móviles, y las herramientas de utilidad compatibles en esta página.
  2. Configura las políticas de acceso de tu servicio de claves para los extremos privilegedunwrap y privilegedprivatekeydecrypt de modo que permitan el ID de cliente del desencriptador de CSE.

Paso 3: Conéctate a tu IdP para la CSE

Para conectar Google Workspace a tu proveedor de identidad (IdP), puedes usar un archivo .well-known o la Consola del administrador. Después de establecer la conexión, debes incluir tu IdP en la lista de entidades permitidas de la Consola del administrador.

Nota: Si configuras un IdP de invitado, debes usar la Consola del administrador.

Opción 1: Conéctate a tu IdP con un archivo .well-known

Para configurar tu IdP de terceros o de Google con esta opción, debes colocar un archivo .well-known en el sitio web público de tu organización. Este archivo establece qué IdP usas y permite que tus colaboradores externos descubran la configuración de tu IdP.

Paso 1: Coloca el archivo .well-known en tu servidor

La configuración de tu IdP debe colocarse en este URI de tu dominio:

https://cse.subdomain.domain.tld/.well-known/cse-configuration

Donde subdomain.domain.tld debe coincidir con el dominio de tu dirección de correo electrónico. Por ejemplo, si el dominio de tu dirección de correo electrónico es solarmora.com, colocarías el archivo .well-known en:

https://cse.solarmora.com/.well-known/cse-configuration

Nota: El prefijo https://cse. es obligatorio porque el URI .well-known no está registrado en el IETF (RFC 8615).

Paso 2: Configura tu archivo .well-known

El contenido de tu archivo .well-known, en well-known/cse-configuration, debe estar codificado en JSON (RFC 8259) y contener estos campos:

Campo Descripción

name

 El nombre del IdP (puedes usar el que quieras) Este nombre aparece en los mensajes de error del IdP para los usuarios de los servicios de Google, como Drive y los editores de Documentos.

client_id

Es el ID de cliente de OpenID Connect (OIDC) que usa la aplicación web cliente de CSE para adquirir un token web JSON (JWT).

Cuando crees un ID de cliente, también agregarás URIs de redireccionamiento en la consola de Google Cloud.

Para obtener detalles sobre cómo crear un ID de cliente, consulta Crea un ID de cliente para aplicaciones web más arriba en esta página.
discovery_uri

Es la URL de descubrimiento de OIDC, como se define en esta especificación de OpenID.

Si usas un IdP de terceros

Tu IdP te proporciona esta URL, que suele terminar con /.well-known/openid-configuration.

Si usas Google Identity

Usar https://accounts.google.com/.well-known/openid-configuration
grant_type

El flujo de OAuth que se usa para OIDC con aplicaciones web cliente de CSE

Si usas un IdP de terceros

Puedes usar el tipo de permiso implicit o authorization_code para las aplicaciones web de CSE.

Si usas Google Identity

Solo puedes usar el tipo de permiso implicit para las aplicaciones web.

applications

Las aplicaciones cliente adicionales con las que quieres usar la CSE Debes agregar un ID de cliente para cada app a tu archivo .well-known.

Nota: Estos IDs de cliente deben admitir el tipo de permiso authorization_code para PKCE (RFC 7636).

Para obtener detalles sobre cómo crear IDs de cliente, consulta Crea un ID de cliente para aplicaciones para computadoras de escritorio y dispositivos móviles más arriba en esta página.

    Si usas un IdP de terceros, tu archivo .well-known debería verse de la siguiente manera:

    Si usas Google Identity, tu archivo .well-known debería verse de la siguiente manera:

    Paso 3: Configura CORS

    Si usas Google Identity para tu IdP, configura CORS en la consola de Google Cloud cuando crees tu ID de cliente. Para obtener más detalles, consulta Crea un ID de cliente para aplicaciones web más arriba en esta página.

    Si usas un IdP de terceros: Tus archivos .well-known/openid-configuration y .well-known/cse-configuration deben permitir las URLs de origen para las llamadas de uso compartido de recursos de origen cruzado (CORS). En la consola del administrador de tu IdP, establece los parámetros de configuración de la siguiente manera:

      .well-known/openid-configuration (URI de descubrimiento)

      • Métodos: GET
      • Orígenes permitidos:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      .well-known/cse-configuration

      • Métodos: GET
      • Orígenes permitidos:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      Opción 2: Conéctate a tu IdP con la Consola del administrador

      En lugar de usar un archivo .well-known, puedes conectar Google Workspace a tu IdP con la Consola del administrador.

      Nota: Si configuras un IdP de invitado, debes usar la Consola del administrador.

      Paso 1: Recopila información sobre tu IdP

      Para conectarte a tu IdP con la Consola del administrador, necesitarás la siguiente información sobre tu IdP:

      Nombre de tu IdP Para obtener más información, consulta Configura tu archivo .well-known más arriba en esta página.
      ID de cliente para aplicaciones web Para obtener más información, consulta Crea un ID de cliente para aplicaciones web más arriba en esta página.
      URI de detección Para obtener más información, consulta Configura tu archivo .well-known más arriba en esta página.
      IDs de cliente para apps para computadoras de escritorio y dispositivos móviles (opcional) Para obtener más detalles, consulta Crea IDs de cliente para aplicaciones para computadoras y dispositivos móviles más arriba en esta página.

      Paso 2: Configura CORS

      Si usas Google Identity, configura el uso compartido de recursos de origen cruzado (CORS) en la consola de Google Cloud cuando crees tu ID de cliente. Para obtener más detalles, consulta Crea un ID de cliente para aplicaciones web más arriba en esta página.

      Si usas un IdP de terceros: En la consola de administración de tu IdP, configura el URI de descubrimiento para permitir las URLs de origen para las llamadas de uso compartido de recursos de origen cruzado (CORS), de la siguiente manera:

      • Método: GET
      • Orígenes permitidos:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      Paso 3: Agrega información a la Consola del administrador

      Debes acceder como administrador avanzado para realizar esta tarea.

      1. En la Consola del administrador de Google, ve a Menú y luego Datos y luego Cumplimiento y luego Encriptación del cliente.

        Debes acceder como administrador avanzado para realizar esta tarea.

        Nota: En Configuración del proveedor de identidad, aparece un mensaje que indica que Google Workspace no puede acceder a tu archivo .well-known. Como te conectarás a tu IdP con la Consola del administrador, puedes ignorar este mensaje.

      2. En Configuración del proveedor de identidad, haz clic en Configurar IdP de respaldo.

        O bien, si configuras un IdP para invitados, haz clic en Configurar IdP para invitados.

      3. Ingresa la siguiente información sobre tu IdP:
        • Nombre
        • ID de cliente (para aplicaciones web)
        • URI de descubrimiento

      4. Haz clic en Probar conexión.

        Si Google Workspace puede conectarse a tu IdP, aparecerá el mensaje "Conexión exitosa".

      5. Si configuras un IdP para invitados, haz clic en Continuar y, luego, elige las apps web para las que quieres proporcionar acceso de invitado.

        Para proporcionar acceso de invitado a Google Meet (Web), ingresa también el ID de cliente para la verificación de invitaciones de invitados.

        Luego, haz clic en Guardar para cerrar la tarjeta.

      6. (Opcional) Para usar la CSE con aplicaciones específicas, haz lo siguiente:
        1. En Autenticación para aplicaciones de Google en computadoras de escritorio y dispositivos móviles (opcional), selecciona las aplicaciones con las que quieres usar la CSE.
        2. En ID de cliente, proporciona el ID de cliente de la aplicación.
      7. Haz clic en Agregar proveedor para cerrar la tarjeta.

      Paso 4 (solo para IdP de terceros): Agrega tu IdP a la lista de entidades permitidas en la Consola del administrador

      Debes agregar tu IdP de terceros a la lista de apps de terceros de confianza para que los usuarios no tengan que acceder a tu IdP de forma reiterada. Sigue las instrucciones que se indican en Controla qué aplicaciones internas y de terceros acceden a los datos de Google Workspace, en "Administra el acceso a las apps: de confianza, limitado o bloqueado".

      Paso siguiente

      Después de configurar tu IdP, podrás configurar tu servicio de encriptación de claves.