Anslut till identitetsleverantören för kryptering på klientsidan

Utgåvor som stöds för den här funktionen: Frontline Plus, Enterprise Plus, Education Standard och Education Plus. Jämför utgåvor

När du har valt en extern nyckeltjänst för Google Workspace-kryptering på klientsidan (CSE) måste du ansluta Google Workspace till en identitetsleverantör (IdP) – antingen en IdP från tredje part eller en Google-identitet. Krypteringsnyckeltjänsten använder IdP för att autentisera användare innan de kan kryptera innehåll eller få åtkomst till krypterat innehåll.

Obs! När du har konfigurerat IdP kan du konfigurera en gäst-IdP för att tillåta extern åtkomst till organisationens innehåll som är krypterat på klientsidan. Mer information finns i Konfigurera en gäst-IdP.

Innan du börjar

Kontrollera att du har valt den krypteringsnyckeltjänst som du vill använda med CSE. Mer information finns i Välja extern nyckeltjänst.

Steg 1: Planera IdP-anslutningen

Granska webb-, dator- och mobilappar och verktyg som stöds

Med din IdP-anslutning kan du konfigurera CSE för alla webbappar från Google Workspace som stöds:

  • Google Drive
  • Google Dokument
  • Google Kalkylark
  • Google Presentationer
  • Gmail
  • Google Kalender
  • Google Meet (ljud, video och chattmeddelanden)

Med din ldP-anslutning kan du även konfigurera CSE för följande dator- och mobilappar:

Du kan även konfigurera följande verktyg:

Välja IdP för CSE

Om du vill använda en krypteringsnyckeltjänst med CSE behöver du en identitetsleverantör (IdP) som har stöd för OpenID Connect-standarden (OIDC). Om du inte redan använder en OIDC IdP med Google Workspace kan du konfigurera IdP för nyckeltjänsten på två sätt:

Alternativ 1: Använd en extern IdP (rekommenderas)

Använd en extern OIDC-IdP om säkerhetsmodellen kräver mer isolering av krypterad data från Google.

Om du redan använder en extern IdP för SAML-baserad enkel inloggning (SSO): Vi rekommenderar att du använder samma IdP för CSE som du använder för åtkomst till Google Workspace-tjänster om den IdP:n har stöd för OIDC. Läs mer om hur du använder SAML-baserad SSO med Google Workspace.

Alternativ 2: Använd Google Identity

Om säkerhetsmodellen inte kräver ytterligare isolering av din krypterade data från Google kan du använda Google-standardidentiteten som IdP.

Endast IdP från tredje part: Konfigurera användarnas webbläsare

Om du använder en extern IdP för CSE rekommenderar vi att du tillåter tredjepartscookies från din IdP i användarnas webbläsare. Annars kan användarna behöva logga in på din IdP oftare när de använder CSE.

  • Om organisationen använder Chrome Enterprise: Du kan använda policyn CookiesAllowedForUrls.
  • För andra webbläsare: Läs webbläsarens supportinnehåll för anvisningar om hur du tillåter tredjepartscookies.

Välj hur du vill ansluta till din IdP för CSE

Du kan konfigurera en IdP – en extern IdP eller en Google-identitet – med en .well-known-fil som du lagrar på organisationens webbplats eller administratörskonsolen (som är ditt IdP-alternativ). Det finns flera saker att ta hänsyn till för varje metod, vilket beskrivs i tabellen nedan.

Obs! Om du konfigurerar en gäst-IdP måste du använda administratörskonsolen.

Tänk på följande .well-known-konfiguration Konfiguration av administratörskonsolen (IdP-alternativ)
Isolering från Google IdP-inställningarna lagras på din egen server. IdP-inställningar lagras på Googles servrar.
Administratörsansvar En webbansvarig kan hantera konfigurationen i stället för en avancerad Google Workspace-administratör. Det är enbart en avancerad Google Workspace-administratör som kan hantera din IdP-konfiguration.
CSE-tillgänglighet Tillgängligheten för CSE (drifttid) beror på tillgängligheten för servern som är värd för din .well-known-fil. Tillgängligheten till CSE motsvarar den allmänna tillgängligheten för Google Workspace-tjänster.
Enkel konfigurering Kräver att du ändrar DNS-inställningarna för servern, utanför administratörskonsolen. Konfigurera inställningar i administratörskonsolen.
Dela utanför organisationen Den externa nyckeltjänsten för användaren med skrivbehörighet kan enkelt få åtkomst till dina IdP-inställningar. Denna åtkomst kan automatiseras och säkerställer att användaren med skrivbehörighet får omedelbar åtkomst till ändringar av dina IdP-inställningar.

Den externa nyckeltjänsten för användaren med skrivbehörighet kan inte få åtkomst till dina IdP-inställningar på administratörskonsolen. Du måste tillhandahålla IdP-inställningarna direkt till användaren med skrivbehörighet innan du delar krypterade filer för första gången, samt varje gång du ändrar IdP-inställningarna.

Steg 2: Skapa klient-id:n för CSE

Skapa ett klient-id för webbappar

Du måste skapa ett klient-id och lägga till omdirigerings-URI:er för Google Workspace-webbappar som stöds. En lista över appar som stöds finns i Webb-, dator- och mobilappar som stöds tidigare på den här sidan.

Hur du skapar ett klient-id för webbappar beror på om du använder en extern IdP eller Google-identitet.

Om du konfigurerar en gäst-IdP: Du måste skapa ytterligare ett klient-id för Google Meet-åtkomst, som används för att verifiera att gästen har bjudits in till mötet. Mer information finns i Konfigurera en IdP för gäster.

Om du använder en extern IdP för CSE

Skapa ett klient-id via administratörskonsolen för din IdP. Du måste även lägga till följande URI:er för omdirigering i IdP-administratörskonsolen:

Webbtjänster:

  • https://client-side-encryption.google.com/callback
  • https://client-side-encryption.google.com/oidc/cse/callback
  • https://client-side-encryption.google.com/oidc/drive/callback
  • https://client-side-encryption.google.com/oidc/gmail/callback
  • https://client-side-encryption.google.com/oidc/meet/callback
  • https://client-side-encryption.google.com/oidc/calendar/callback
  • https://client-side-encryption.google.com/oidc/docs/callback
  • https://client-side-encryption.google.com/oidc/sheets/callback
  • https://client-side-encryption.google.com/oidc/slides/callback

Drive för datorn:

http://localhost

Mobilappar för Android och iOS:

  • https://client-side-encryption.google.com/oidc/gmail/native/callback
  • https://client-side-encryption.google.com/oidc/meet/native/callback
  • https://client-side-encryption.google.com/oidc/calendar/native/callback
  • https://client-side-encryption.google.com/oidc/drive/native/callback
  • https://client-side-encryption.google.com/oidc/gmail/meet/native/callback

Om du använder Google-identitet för CSE

Du måste skapa ett klient-id i Google Cloud Console. Du lägger till den i filen .well-known/cse-configuration eller i administratörskonsolen. Du konfigurerar även JavaScript-ursprung (kallas även resursdelning mellan ursprung eller CORS) och lägger till omdirigerings-URI:er.

  1. Öppna console.cloud.google.com.
  2. Skapa ett nytt Google Cloud-projekt. Få anvisningar.

    Konfigurera projektet som du vill – det är bara till för att spara användaruppgifterna.

  3. Gå till menyn följt av API:er och tjänster följt av Användaruppgifter i konsolen.
  4. Skapa ett klient-id för OAuth för en ny webbapp som du använder med CSE. Se fullständiga anvisningar.
  5. Uppdatera JavaScript-ursprung med följande:
    • https://admin.google.com
    • https://client-side-encryption.google.com
  6. Uppdatera Auktoriserade URI:er för omdirigering med följande.

    Webbtjänster:

    • https://client-side-encryption.google.com/callback
    • https://client-side-encryption.google.com/oidc/cse/callback
    • https://client-side-encryption.google.com/oidc/drive/callback
    • https://client-side-encryption.google.com/oidc/gmail/callback
    • https://client-side-encryption.google.com/oidc/meet/callback
    • https://client-side-encryption.google.com/oidc/calendar/callback
    • https://client-side-encryption.google.com/oidc/docs/callback
    • https://client-side-encryption.google.com/oidc/sheets/callback
    • https://client-side-encryption.google.com/oidc/slides/callback

    Drive för datorn:

    http://localhost

    Mobilappar för Android och iOS:

    Ingen ytterligare konfiguration krävs för Android- och iOS-appar.

Ett klient-id för OAuth skapas. Spara detta id så att du kan lägga till det i .well-known/cse-configuration-filen eller administratörskonsolen.

Skapa klient-id:n för dator- och mobilappar

Om du vill att användarna ska använda CSE med dator- och mobilappar behöver du klient-id:n för dessa appar. Du lägger till dem i filen .well-known/cse-configuration eller i administratörskonsolen. Du kan även behöva lägga till klient-id:n i nyckeltjänstkonfigurationen. Mer information finns i dokumentationen för nyckeltjänsten.

För varje app behöver du ett klient-id för varje plattform (Android och iOS). En lista över appar som stöds finns i Webb-, dator- och mobilappar som stöds tidigare på den här sidan.

Hur du får klient-id:n för dator- och mobilappar beror på om du använder en extern IdP eller Google-identitet.

Obs! Dessa klient-id:n måste ha stöd för beviljandetypen authorization_code för PKCE (RFC 7636).

Om du använder en extern IdP för CSE

Skapa ett separat klient-id för varje app via administratörskonsolen för din IdP.

Om du använder Google-identitet för CSE

Använd följande klient-id:n:

  • Drive för datorn: Använd klient-id 947318989803-k88lapdik9bledfml8rr69ic6d3rdv57.apps.googleusercontent.com
  • Drive på Android – använd klient-id:t 313892590415-6lbccuf47cou4q45vanraqp3fv5jt9do.apps.googleusercontent.com
  • Drive på iOS – använd klient-id:t 313892590415-d3h1l7kl4htab916r6jevqdtu8bfmh9m.apps.googleusercontent.com
  • Kalender på Android – använd klient-id 313892590415-q84luo8fon5pn5vl8a6rppo1qvcd3qvn.apps.googleusercontent.com
  • Kalender på iOS – använd klient-id 313892590415-283b3nilr8561tedgu1n4dcm9hd6g3hr.apps.googleusercontent.com
  • Gmail för Android – använd klient-id:t 313892590415-samhd32i4piankgs42o9sit5e9dug452.apps.googleusercontent.com
  • Gmail på iOS – använd klient-id:t 313892590415-ijvjpbnsh0gauuunjgsdn64ngg37k6rc.apps.googleusercontent.com
  • Meet på Android – använd klient-id 313892590415-i06v47su4k03ns7ot38akv7s9ari5oa5.apps.googleusercontent.com
  • Meet på iOS – använd klient-id 313892590415-32ha2bvs0tr1b12s089i33o58hjvqt55.apps.googleusercontent.com

Skapa klient-id:n för verktyg

Vi rekommenderar att du gör följande:

  1. Använd ett klient-id för varje verktyg som interagerar med de privilegierade slutpunkterna (privilegedwrap, privilegedunwrap, privilegedprivatekeydecrypt) i nyckeltjänsten. En lista över verktyg som stöds finns i Granska webb-, dator- och mobilappar samt verktyg som stöds på den här sidan.
  2. Konfigurera nyckeltjänstens åtkomstpolicyer för slutpunkterna privilegedunwrap och privilegedprivatekeydecrypt så att klient-id:t för CSE-dekrypteraren tillåts.

Steg 3: Anslut till IdP för CSE

Du kan ansluta Google Workspace till identitetsleverantören (IdP) med en .well-known-fil eller via administratörskonsolen. När du har upprättat en anslutning måste du godkänna IdP på administratörskonsolen.

Obs! Om du konfigurerar en gäst-IdP måste du använda administratörskonsolen.

Alternativ 1: Anslut till din IdP med hjälp av en .well-known-fil

Om du vill konfigurera din externa IdP eller Google-IdP med det här alternativet måste du placera en .well-known-fil på organisationens offentliga webbplats. Den här filen fastställer vilken IdP du använder och tillåter att externa användare med skrivbehörighet kan hitta dina IdP-inställningar.

Steg 1: Placera .well-known-filen på servern

Din IdP-konfiguration måste placeras på denna URI på din domän:

https://cse.subdomain.domain.tld/.well-known/cse-configuration

där subdomain.domain.tld ska motsvara domänen i din e-postadress. Om domänen i din e-postadress till exempel är solarmora.com placerar du .well-known-filen på:

https://cse.solarmora.com/.well-known/cse-configuration

Obs! Prefixet https://cse. krävs eftersom .well-known URI inte är registrerad hos IETF (RFC 8615).

Steg 2: Konfigurera .well-known-filen

Innehållet i din .well-known-fil, på well-known/cse-configuration, måste vara JSON-kodad (RFC 8259) och innehålla följande fält:

Fält Beskrivning

name

 Namnet på IdP – du kan använda vilket namn du vill. Det här namnet visas i IdP-felmeddelanden för användare i Googles tjänster, till exempel Drive och Dokumentredigerare.

client_id

OIDC-klient-id (OpenID Connect) som används av CSE-klientwebbappen för att förvärva en JSON-webbtoken (JWT)

När du skapar ett klient-id lägger du även till omdirigerings-URI:er i Google Cloud Console.

Mer information om hur du skapar ett klient-id finns i Skapa ett klient-id för webbappar tidigare på den här sidan.
discovery_uri

OIDC-webbadressen för upptäckt enligt definition i denna OpenID-specifikation.

Om du använder en extern IdP

IdP tillhandahåller webbadressen som vanligtvis slutar med /.well-known/openid-configuration

Om du använder Google-identitet

Använd https://accounts.google.com/.well-known/openid-configuration
grant_type

OAuth-flödet som används för OIDC med CSE-klientwebbappar

Om du använder en extern IdP

Du kan använda beviljandetypen implicit eller authorization_code för CSE-webbappar.

Om du använder Google-identitet

Du kan bara använda beviljandetypen implicit för webbappar.

applications

De ytterligare klientprogram som du vill använda CSE med. Du måste lägga till ett klient-id för varje app i din .well-known-fil.

Obs! Dessa klient-id:n måste ha stöd för beviljandetypen authorization_code för PKCE (RFC 7636).

Mer information om hur du skapar klient-id:n finns i Skapa ett klient-id för dator- och mobilappar tidigare på den här sidan.

    Om du använder en extern IdP ska din .well-known-fil se ut så här:

    Om du använder Google-identitet ska din .well-known-fil se ut så här:

    Steg 3: Konfigurera CORS

    Om du använder Google-identitet för din IdP: Du konfigurerar CORS i Google Cloud Console när du skapar ditt klient-id. Mer information finns i Skapa ett klient-id för webbappar tidigare på den här sidan.

    Om du använder en extern IdP: Din .well-known/openid-configuration och .well-known/cse-configuration måste tillåta ursprungliga webbadresser för CORS-anrop (Cross-Origin Resource Sharing). Gör följande konfigurationer i IdP:ns administratörskonsol:

      .well-known/openid-configuration (URI för upptäckt)

      • Metoder: GET
      • Tillåtna ursprung:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      .well-known/cse-configuration

      • Metoder: GET
      • Tillåtna ursprung:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      Alternativ 2: Anslut till din IdP med hjälp av administratörskonsolen

      I stället för att använda en .well-known-fil kan du ansluta Google Workspace till din IdP med hjälp av administratörskonsolen.

      Obs! Om du konfigurerar en gäst-IdP måste du använda administratörskonsolen.

      Steg 1: Samla information om din IdP

      Om du vill ansluta till din IdP med administratörskonsolen behöver du följande information om din IdP:

      Namn på din IdP Mer information finns i Konfigurera .well-known-filen tidigare på den här sidan.
      Klient-id för webbappar Mer information finns i Skapa ett klient-id för webbappar tidigare på den här sidan.
      URI för upptäckt Mer information finns i Konfigurera .well-known-filen tidigare på den här sidan.
      Klient-id:n för dator- och mobilappar (valfritt) Mer information finns i Skapa klient-id:n för dator- och mobilappar tidigare på den här sidan.

      Steg 2: Konfigurera CORS

      Om du använder Google-identitet: Du konfigurerar resursdelning över ursprung (CORS) i Google Cloud Console när du skapar ditt klient-id. Mer information finns i Skapa ett klient-id för webbappar tidigare på den här sidan.

      Om du använder en extern IdP: Konfigurera URI för upptäckt i administratörskonsolen för IdP för att tillåta ursprungswebbadresser för CORS-anrop (Cross-Origin Resource Sharing) enligt följande:

      • Metod: GET
      • Tillåtna ursprung:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      Steg 3: Lägg till information i administratörskonsolen

      Du måste vara inloggad som avancerad administratör för den här uppgiften.

      1. Öppna menyn följt av Data följt av Efterlevnad följt av Kryptering på klientsidan i Googles administratörskonsol.

        Du måste vara inloggad som avancerad administratör för den här uppgiften.

        Obs! Under Konfiguration av identitetsleverantör visas ett meddelande om att Google Workspace inte kan nå din .well-known-fil. Eftersom du ansluter till IdP med hjälp av administratörskonsolen kan du bortse från detta meddelande.

      2. Under Konfiguration av identitetsleverantör klickar du på Konfigurera IdP-alternativ.

        Om du konfigurerar en gäst-IdP klickar du på Konfigurera gäst-IdP.

      3. Ange följande information om din IdP:
        • Namn
        • Klient-id (för webbappar)
        • Discovery URI

      4. Klicka på Testa anslutning.

        Om Google Workspace kan ansluta till din IdP visas meddelandet Anslutning upprättad.

      5. Om du konfigurerar en gäst-IdP: Klicka på Fortsätt och välj sedan de webbappar som du vill ge gäståtkomst till.

        Om du vill ge gäståtkomst till Google Meet (webb) anger du även klient-id för verifiering av gästinbjudan.

        Klicka sedan på Spara för att stänga kortet.

      6. (Valfritt) Så här använder du CSE med specifika appar:
        1. Under Autentisering för Googles dator- och mobilappar (valfritt) väljer du de appar du vill använda CSE med.
        2. För Klient-id anger du klient-id:t för appen.
      7. Klicka på Lägg till leverantör för att stänga kortet.

      Steg 4 (enbart IdP från tredje part): Lägg till din IdP på godkännandelistan i administratörskonsolen

      Du måste lägga till din externa IdP på listan över betrodda över appar från tredje part så att användarna inte behöver logga in på din IdP upprepade gånger. Följ anvisningarna i Kontrollera vilka externa och interna appar som får åtkomst till Google Workspace-data under Hantera åtkomst till appar: Betrodd, Begränsad eller Blockerad.

      Nästa steg

      När du har konfigurerat identitetsleverantören kan du konfigurera nyckelkrypteringstjänsten.