התחברות לספק הזהויות לצורך הצפנה מצד הלקוח

התכונה הזאת נתמכת במהדורות הבאות: Frontline Plus‏; Enterprise Plus‏; Education Standard ו-Education Plus. השוואה בין המהדורות

אחרי שבוחרים את השירות החיצוני למפתחות הצפנה בשביל ההצפנה מצד הלקוח (CSE) ב-Google Workspace, צריך לחבר את Google Workspace לספק זהויות (IdP) – ספק זהויות של צד שלישי או Google Identity. השירות למפתחות הצפנה משתמש ב-IdP כדי לאמת משתמשים לפני שהם יכולים להצפין תוכן או לגשת לתוכן מוצפן.

הערה: אחרי שמגדירים את ה-IdP, אפשר להגדיר IdP של אורח כדי לאפשר גישה חיצונית לתוכן של הארגון שמוצפן מצד הלקוח. פרטים נוספים מופיעים במאמר הגדרת IdP לאורח.

לפני שמתחילים

מוודאים שבחרתם את שירות מפתחות ההצפנה שבו אתם רוצים להשתמש עם CSE. פרטים נוספים זמינים במאמר בחירת שירות חיצוני למפתחות הצפנה.

שלב 1: תכנון החיבור ל-IdP

בדיקת אפליקציות וכלים נתמכים לאינטרנט, למחשב ולנייד

באמצעות החיבור ל-IdP, אתם יכולים להגדיר הצפנה מצד הלקוח לכל אפליקציות האינטרנט הנתמכות של Google Workspace:

  • Google Drive
  • Google Docs
  • Google Sheets
  • Google Slides
  • Gmail
  • יומן Google
  • ‫Google Meet (אודיו, וידאו והודעות צ'אט)

החיבור ל-IdP מאפשר לכם גם להגדיר הצפנה מצד הלקוח באפליקציות הבאות למחשב ולנייד:

אתם יכולים גם להגדיר את כלי השירות הבאים:

בחירת ספק הזהויות ל-CSE

כדי להשתמש בשירות למפתחות הצפנה עם הצפנה מצד הלקוח, אתם צריכים ספק זהויות (IdP) שתומך בתקן OpenID Connect ‏ (OIDC). אם אתם עדיין לא משתמשים ב-OIDC IdP עם Google Workspace, אתם יכולים להגדיר את ה-IdP לשימוש עם שירות המפתחות שלכם באחת משתי דרכים:

אפשרות 1: שימוש ב-IdP של צד שלישי (מומלץ)

אם מודל האבטחה שלכם דורש בידוד נוסף של הנתונים המוצפנים מ-Google, אתם יכולים להשתמש בספק זהויות של צד שלישי עם OIDC.

אם אתם כבר משתמשים ב-IdP של צד שלישי לכניסה יחידה (SSO) שמבוססת על SAML: מומלץ להשתמש באותו IdP להצפנה מצד הלקוח שבו אתם משתמשים כדי לגשת לשירותי Google Workspace, אם ה-IdP הזה תומך ב-OIDC. מידע נוסף על שימוש ב-SSO מבוסס-SAML עם Google Workspace.

אפשרות 2: שימוש ב-Google Identity

אם מודל האבטחה שלכם לא דורש בידוד נוסף של הנתונים המוצפנים מ-Google, אתם יכולים להשתמש ב-Google Identity כספק הזהויות שלכם.

רק IdP של צד שלישי: הגדרת הדפדפנים של המשתמשים

אם אתם משתמשים ב-IdP של צד שלישי בשביל CSE, מומלץ לאפשר קובצי Cookie של צד שלישי מה-IdP בדפדפנים של המשתמשים. אחרת, יכול להיות שהמשתמשים יצטרכו להיכנס ל-IdP בתדירות גבוהה יותר כשהם משתמשים ב-CSE.

  • אם הארגון שלכם משתמש ב-Chrome Enterprise: אתם יכולים להשתמש במדיניות CookiesAllowedForUrls.
  • בדפדפנים אחרים: צריך להיכנס לאתרי התמיכה שלהם לקבלת הוראות איך לאפשר קובצי Cookie של צד שלישי.

איך בוחרים את אופן החיבור ל-IdP לצורך הצפנה מצד הלקוח

אתם יכולים להגדיר את ה-IdP – בין אם מדובר ב-IdP של צד שלישי או ב-Google Identity – באמצעות קובץ ‎ .well-known שאתם מארחים באתר של הארגון, או באמצעות מסוף Admin (שהוא ה-IdP לגיבוי). יש כמה שיקולים לכל שיטה, כפי שמתואר בטבלה הבאה.

הערה: אם אתם מגדירים IdP לאורחים, אתם צריכים להשתמש במסוף Admin.

לתשומת ליבכם הגדרת ‎.well-known הגדרה במסוף Admin (שירות IdP לגיבוי)
בידוד מ-Google הגדרות ה-IdP נשמרות בשרת שלכם. הגדרות ה-IdP נשמרות בשרתים של Google.
תחומי האחריות של האדמין מנהל אתרים יכול לנהל את ההגדרה במקום סופר-אדמין ב-Google Workspace. רק סופר-אדמין ב-Google Workspace יכול לנהל את הגדרת ה-IdP.
זמינות של CSE הזמינות של ההצפנה מצד הלקוח (זמן פעולה תקינה) תלויה בזמינות של השרת שמארח את הקובץ well-known. הזמינות של CSE תואמת לזמינות לכלל המשתמשים (GA) של שירותי Google Workspace.
הגדרה קלה צריך לשנות את הגדרות ה-DNS של השרת, מחוץ למסוף Admin. קובעים את ההגדרות במסוף Admin.
שיתוף עם גורמים מחוץ לארגון השירות החיצוני למפתחות הצפנה של השותף שלכם יכול לגשת בקלות להגדרות של ספק הזהויות שלכם. אפשר להגדיר את הגישה הזו באופן אוטומטי, וכך להבטיח שלשירות של השותף תהיה גישה מיידית לכל שינוי בהגדרות של ספק הזהויות שלכם.

השירות החיצוני למפתחות הצפנה של השותף לעריכה לא יכול לגשת להגדרות של ספק הזהויות שלכם במסוף Admin. אתם צריכים לספק את הגדרות ה-IdP ישירות לשותף העריכה לפני שאתם משתפים קבצים מוצפנים בפעם הראשונה, וגם בכל פעם שאתם משנים את הגדרות ה-IdP.

שלב 2: יצירת מזהי לקוח ל-CSE

יצירת מזהה לקוח לאפליקציות אינטרנט

צריך ליצור מזהה לקוח ולהוסיף כתובות URI להפניה אוטומטית לאפליקציות אינטרנט נתמכות של Google Workspace. רשימה של אפליקציות נתמכות מופיעה בקטע אפליקציות נתמכות לאינטרנט, למחשב ולנייד למעלה בדף הזה.

הדרך ליצור מזהה לקוח לאפליקציות אינטרנט תלויה בשאלה אם אתם משתמשים ב-IdP של צד שלישי או ב-Google Identity.

אם אתם מגדירים IdP של אורח: אתם צריכים ליצור מזהה לקוח נוסף לגישה ל-Google Meet, שמשמש לאימות שהאורח הוזמן לפגישה. מידע נוסף זמין במאמר הגדרת IdP לאורח.

אם אתם משתמשים ב-IdP של צד שלישי ל-CSE

יוצרים מזהה לקוח באמצעות מסוף Admin של ה-IdP. תצטרכו גם להוסיף את מזהי ה-URI הבאים להפניה אוטומטית למסוף Admin של ה-IdP:

שירותי אינטרנט:

  • https://client-side-encryption.google.com/callback
  • https://client-side-encryption.google.com/oidc/cse/callback
  • https://client-side-encryption.google.com/oidc/drive/callback
  • https://client-side-encryption.google.com/oidc/gmail/callback
  • https://client-side-encryption.google.com/oidc/meet/callback
  • https://client-side-encryption.google.com/oidc/calendar/callback
  • https://client-side-encryption.google.com/oidc/docs/callback
  • https://client-side-encryption.google.com/oidc/sheets/callback
  • https://client-side-encryption.google.com/oidc/slides/callback

‫Drive לשולחן העבודה:

http://localhost

אפליקציות לנייד ל-Android ול-iOS:

  • https://client-side-encryption.google.com/oidc/gmail/native/callback
  • https://client-side-encryption.google.com/oidc/meet/native/callback
  • https://client-side-encryption.google.com/oidc/calendar/native/callback
  • https://client-side-encryption.google.com/oidc/drive/native/callback
  • https://client-side-encryption.google.com/oidc/gmail/meet/native/callback

אם אתם משתמשים ב-Google Identity ל-CSE

צריך ליצור מזהה לקוח במסוף Google Cloud. אתם צריכים להוסיף אותו לקובץ ‎ .well-known/cse-configuration או למסוף Admin. בנוסף, תגדירו מקורות JavaScript (שנקראים גם שיתוף משאבים בין מקורות, או CORS) ותוסיפו כתובות URI להפניה אוטומטית.

  1. נכנסים לכתובת console.cloud.google.com.
  2. יוצרים פרויקט חדש ב-Google Cloud. לקבלת הוראות

    מגדירים את הפרויקט איך שרוצים – הוא נועד רק כדי להכיל את פרטי הכניסה.

  3. במסוף, נכנסים לתפריט ואז APIs & Services ואז Credentials.
  4. יוצרים מזהה לקוח OAuth לאפליקציית אינטרנט חדשה שתשמש ל-CSE. להוראות המלאות
  5. מעדכנים את מקורות ה-JavaScript בערכים הבאים:
    • https://admin.google.com
    • https://client-side-encryption.google.com
  6. מעדכנים את Authorized Redirect URIs (מזהי URI מורשים להפניה אוטומטית) לפי ההנחיות הבאות.

    שירותי אינטרנט:

    • https://client-side-encryption.google.com/callback
    • https://client-side-encryption.google.com/oidc/cse/callback
    • https://client-side-encryption.google.com/oidc/drive/callback
    • https://client-side-encryption.google.com/oidc/gmail/callback
    • https://client-side-encryption.google.com/oidc/meet/callback
    • https://client-side-encryption.google.com/oidc/calendar/callback
    • https://client-side-encryption.google.com/oidc/docs/callback
    • https://client-side-encryption.google.com/oidc/sheets/callback
    • https://client-side-encryption.google.com/oidc/slides/callback

    ‫Drive לשולחן העבודה:

    http://localhost

    אפליקציות לנייד ל-Android ול-iOS:

    אין צורך בהגדרות נוספות לאפליקציות ל-Android ול-iOS.

מזהה לקוח OAuth נוצר. שומרים את המזהה הזה כדי להוסיף אותו לקובץ ‎ .well-known/cse-configuration או למסוף Admin.

יצירת מזהי לקוח לאפליקציות למחשב ולנייד

אם אתם רוצים שהמשתמשים שלכם ישתמשו ב-CSE באפליקציות למחשב ולנייד, אתם צריכים מזהי לקוח לאפליקציות האלה. אתם צריכים להוסיף אותם לקובץ ‎ .well-known/cse-configuration או למסוף Admin. יכול להיות שתצטרכו גם להוסיף את מזהי הלקוחות להגדרות של השירות למפתחות הצפנה. כדאי לעיין במאמרי העזרה של השירות למפתחות הצפנה.

לכל אפליקציה לנייד, צריך מזהה לקוח אחד לכל פלטפורמה (Android ו-iOS). רשימה של אפליקציות נתמכות מופיעה בקטע אפליקציות נתמכות לאינטרנט, למחשב ולנייד למעלה בדף הזה.

הדרך שבה מקבלים מזהי לקוח לאפליקציות למחשב ולנייד תלויה בשאלה אם אתם משתמשים ב-IDP של צד שלישי או ב-Google Identity.

הערה: מזהי הלקוחות האלה חייבים לתמוך בסוג ה-grant‏ authorization_code ל-PKCE‏ (RFC 7636).

אם אתם משתמשים ב-IdP של צד שלישי ל-CSE

צריך להשתמש במסוף Admin של ספק הזהויות כדי ליצור מזהה לקוח נפרד לכל אפליקציה.

אם תשתמשו ב-Google Identity עבור הצפנה מצד הלקוח

משתמשים במזהי הלקוח הבאים:

  • ‫Drive לשולחן העבודה – משתמשים במזהה הלקוח 947318989803-k88lapdik9bledfml8rr69ic6d3rdv57.apps.googleusercontent.com
  • ‫Drive ב-Android – משתמשים במזהה הלקוח 313892590415-6lbccuf47cou4q45vanraqp3fv5jt9do.apps.googleusercontent.com
  • ‫Drive ב-iOS – משתמשים במזהה הלקוח 313892590415-d3h1l7kl4htab916r6jevqdtu8bfmh9m.apps.googleusercontent.com
  • יומן ב-Android – משתמשים במזהה הלקוח 313892590415-q84luo8fon5pn5vl8a6rppo1qvcd3qvn.apps.googleusercontent.com
  • יומן ב-iOS – משתמשים במזהה הלקוח 313892590415-283b3nilr8561tedgu1n4dcm9hd6g3hr.apps.googleusercontent.com
  • ‫Gmail ב-Android – משתמשים במזהה הלקוח 313892590415-samhd32i4piankgs42o9sit5e9dug452.apps.googleusercontent.com
  • ‫Gmail ב-iOS – משתמשים במזהה הלקוח 313892590415-ijvjpbnsh0gauuunjgsdn64ngg37k6rc.apps.googleusercontent.com
  • ‫Meet ב-Android – משתמשים במזהה הלקוח 313892590415-i06v47su4k03ns7ot38akv7s9ari5oa5.apps.googleusercontent.com
  • ‫Meet ב-iOS – משתמשים במזהה הלקוח 313892590415-32ha2bvs0tr1b12s089i33o58hjvqt55.apps.googleusercontent.com

יצירת מזהי לקוח לכלי שירות

אנו ממליצים לך:

  1. צריך להשתמש במזהה לקוח אחד לכל כלי שירות שמקיים אינטראקציה עם נקודות הקצה המורשות (privilegedwrap, ‏ privilegedunwrap, ‏ privilegedprivatekeydecrypt) של שירות המפתחות. רשימה של הכלים הנתמכים מופיעה בקטע בדיקת אפליקציות נתמכות לאינטרנט, למחשב ולנייד, וכלי שירות בדף הזה.
  2. מגדירים את כללי מדיניות הגישה של השירות למפתחות הצפנה לנקודות הקצה privilegedunwrap ו-privilegedprivatekeydecrypt, כדי לאפשר את מזהה הלקוח של הכלי לפענוח הצפנה מצד הלקוח.

שלב 3: מתחברים לספק הזהויות (IdP) לצורך הצפנה מצד הלקוח (CSE)

כדי לחבר את Google Workspace לספק הזהויות (IdP), אתם יכולים להשתמש בקובץ ‎.well-known או במסוף Admin. אחרי שיוצרים את החיבור, צריך להוסיף את ה-IdP לרשימת ההיתרים במסוף Admin.

הערה: אם אתם מגדירים ספק זהויות לאורחים, אתם צריכים להשתמש במסוף Admin.

אפשרות 1: התחברות ל-IdP באמצעות קובץ ‎ .well-known

כדי להגדיר את ה-IdP של צד שלישי או של Google באמצעות האפשרות הזו, צריך להציב קובץ ‎.well-known באתר הציבורי של הארגון. הקובץ הזה קובע באיזה IdP אתם משתמשים ומאפשר לשותפי העריכה החיצוניים לגלות את הגדרות ה-IdP שלכם.

שלב 1: מציבים את הקובץ well-known .בשרת

הגדרת ה-IdP צריכה להיות ב-URI הזה בדומיין:

https://cse.subdomain.domain.tld/.well-known/cse-configuration

כאשר subdomain.domain.tld צריך להתאים לדומיין בכתובת האימייל שלכם. לדוגמה, אם הדומיין בכתובת האימייל שלכם הוא solarmora.com, אתם צריכים למקם את קובץ ה-‎ .well-known בכתובת:

https://cse.solarmora.com/.well-known/cse-configuration

הערה: צריך להוסיף את הקידומת https://cse. ‎ כי ה-URI מסוג ‎ .well-known לא רשום ב-IETF‏ (RFC 8615).

שלב 2: מגדירים את קובץ ה-‎ .well-known

התוכן של קובץ well-known, ב-well-known/cse-configuration, חייב להיות מקודד ב-JSON‏ (RFC 8259) ולהכיל את השדות הבאים:

שדה תיאור

name

 שם ה-IdP – אפשר להשתמש בכל שם שרוצים. השם הזה מופיע בהודעות שגיאה של IdP למשתמשים בשירותי Google, כמו Drive ועורכי Docs.

client_id

מזהה הלקוח של OpenID Connect ‏ (OIDC) שבו משתמשת אפליקציית האינטרנט של לקוח ה-CSE כדי לקבל אסימון אינטרנט מסוג JSON ‏ (JWT)

כשיוצרים מזהה לקוח, מוסיפים גם כתובות URI להפניה אוטומטית במסוף Google Cloud.

פרטים נוספים על יצירת מזהה לקוח זמינים בקטע יצירת מזהה לקוח לאפליקציות אינטרנט למעלה בדף הזה.
discovery_uri

כתובת ה-URL של מסמך Discovery של OIDC, כפי שמוגדרת במפרט הזה של OpenID.

אם אתם משתמשים ב-IdP של צד שלישי

ה-IdP מספק את כתובת ה-URL הזו, שבדרך כלל מסתיימת ב-/.well-known/openid-configuration

אם משתמשים ב-Google Identity

שימוש ב-https://accounts.google.com/.well-known/openid-configuration
grant_type

תהליך OAuth שמשמש ל-OIDC עם אפליקציות אינטרנט של לקוחות CSE

אם אתם משתמשים ב-IdP של צד שלישי

באפליקציות אינטרנט עם הצפנה מצד הלקוח, אפשר להשתמש בסוג ה-grant‏ implicit או authorization_code.

אם משתמשים ב-Google Identity

באפליקציות אינטרנט אפשר להשתמש רק בסוג ה-grant‏ implicit.

applications

אפליקציות הלקוח הנוספות שבהן רוצים להשתמש בהצפנה מצד הלקוח. צריך להוסיף מזהה לקוח לכל אפליקציה בקובץ ‎ .well-known.

הערה: מזהי הלקוחות האלה חייבים לתמוך בסוג ה-grant‏ authorization_code ל-PKCE‏ (RFC 7636).

פרטים נוספים על יצירת מזהי לקוח זמינים בקטע יצירת מזהה לקוח לאפליקציות למחשב ולנייד למעלה בדף הזה.

    אם אתם משתמשים ב-IdP של צד שלישי, קובץ ה-‎ .well-known אמור להיראות כך:

    אם אתם משתמשים ב-Google Identity, קובץ ה-‎ .well-known שלכם אמור להיראות כך:

    שלב 3: הגדרת CORS

    אם אתם משתמשים ב-Google Identity בתור ספק הזהויות: אתם מגדירים את CORS במסוף Google Cloud כשאתם יוצרים את מזהה הלקוח. פרטים נוספים זמינים בקטע יצירת מזהה לקוח לאפליקציות אינטרנט למעלה בדף הזה.

    אם אתם משתמשים ב-IdP של צד שלישי: צריך לאפשר לכתובות ה-URL המקוריות של ‎ .well-known/openid-configuration ו-‎ .well-known/cse-configuration לבצע קריאות של שיתוף משאבים בין מקורות (CORS). במסוף Admin של ה-IdP, קובעים את ההגדרות הבאות:

      ‎.well-known/openid-configuration (URI של גילוי)

      • שיטות: GET
      • מקורות מותרים:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      ‎.well-known/cse-configuration

      • שיטות: GET
      • מקורות מותרים:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      אפשרות 2: התחברות ל-IdP באמצעות מסוף Admin

      במקום להשתמש בקובץ ‎ .well-known, אתם יכולים לחבר את Google Workspace ל-IdP באמצעות מסוף Admin.

      הערה: אם אתם מגדירים ספק זהויות לאורחים, אתם צריכים להשתמש במסוף Admin.

      שלב 1: אוספים מידע על ה-IdP

      כדי להתחבר ל-IdP באמצעות מסוף Admin, צריך את הפרטים הבאים לגבי ה-IdP:

      שם ה-IdP שלכם פרטים נוספים זמינים בקטע הגדרת קובץ ‎ .well-known למעלה בדף הזה.
      מזהה לקוח לאפליקציות אינטרנט פרטים נוספים זמינים בקטע יצירת מזהה לקוח לאפליקציות אינטרנט למעלה בדף הזה.
      URI לגילוי ספק הזהויות פרטים נוספים זמינים בקטע הגדרת קובץ ‎ .well-known למעלה בדף הזה.
      מזהי לקוח לאפליקציות למחשב ולנייד (אופציונלי) פרטים נוספים זמינים בקטע יצירת מזהי לקוח לאפליקציות למחשב ולנייד למעלה בדף הזה.

      שלב 2: מגדירים CORS

      אם אתם משתמשים ב-Google Identity: אתם מגדירים שיתוף משאבים ממקורות שונים (CORS) במסוף Google Cloud כשאתם יוצרים את מזהה הלקוח. פרטים נוספים זמינים בקטע יצירת מזהה לקוח לאפליקציות אינטרנט למעלה בדף הזה.

      אם אתם משתמשים ב-IdP של צד שלישי: במסוף הניהול של ה-IdP, מגדירים את ה-URI לגילוי כך שיאפשר לכתובות ה-URL המקוריות לבצע קריאות לשיתוף משאבים בין מקורות (CORS), באופן הבא:

      • שיטה: GET
      • מקורות מותרים:
        • https://admin.google.com
        • https://client-side-encryption.google.com

      שלב 3: מוסיפים מידע למסוף Admin

      כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

      1. במסוף Google Admin, נכנסים לתפריט ואז נתונים ואז תאימות ואז הצפנה מצד הלקוח.

        כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

        הערה: בקטע הגדרת ספק הזהויות, מופיעה הודעה שמציינת ש-Google Workspace לא יכול לגשת לקובץ ‎ .well-known. מכיוון שאתם מתחברים ל-IdP באמצעות מסוף Admin, אתם יכולים להתעלם מההודעה הזו.

      2. בקטע הגדרה של ספק זהויות, לוחצים על הגדרת IdP לגיבוי.

        לחלופין, אם אתם מגדירים IdP לאורח, לחצו על הגדרת IdP לאורח.

      3. מזינים את הפרטים הבאים לגבי ה-IdP:
        • שם
        • מזהה לקוח (לאפליקציות אינטרנט)
        • URI של Discovery

      4. לוחצים על בדיקת החיבור.

        אם מערכת Google Workspace מצליחה להתחבר ל-IdP, מופיעה ההודעה "החיבור הצליח".

      5. אם אתם מגדירים IdP של אורח: לוחצים על המשך ובוחרים את אפליקציות האינטרנט שאתם רוצים לספק להן גישת אורח.

        כדי לתת לאורחים גישה ל-Google Meet (באינטרנט), צריך להזין גם את מזהה הלקוח לצורך אימות הזמנה של אורחים.

        אחר כך לוחצים על שמירה כדי לסגור את הכרטיס.

      6. (אופציונלי) כדי להשתמש בהצפנה מצד הלקוח באפליקציות ספציפיות:
        1. בקטע אימות לאפליקציות של Google לנייד ולאינטרנט (אופציונלי), בוחרים את האפליקציות שרוצים להשתמש בהן בהצפנה מצד הלקוח.
        2. בשדה Client ID, מזינים את מזהה הלקוח של האפליקציה.
      7. לוחצים על הוספת ספק כדי לסגור את הכרטיס.

      שלב 4 (רק ל-IdP של צד שלישי): מוסיפים את ה-IdP לרשימת ההיתרים במסוף Admin

      צריך להוסיף את ה-IdP של הצד השלישי לרשימת האפליקציות המהימנות של צד שלישי, כדי שהמשתמשים לא יצטרכו להיכנס ל-IdP שוב ושוב. פועלים לפי ההוראות במאמר איך בוחרים לאילו אפליקציות של צד שלישי ואפליקציות פנימיות תהיה גישה לנתונים של Google Workspace, בקטע "ניהול הגישה לאפליקציות: מהימנות, מוגבלות או חסומות".

      השלב הבא

      אחרי שמגדירים את ה-IdP, אפשר להגדיר את השירות למפתחות הצפנה.