Endast Gmail: Konfigurera S/MIME för kryptering på klientsidan

1. Skapa ett nytt GCP-projekt. Mer information finns i Skapa och hantera projekt.

   Notera projekt-id:t: Du använder det för att bevilja domänomfattande åtkomst för API.

2. Öppna Google API Console och aktivera Gmail API för det nya projektet. Mer information finns i Aktivera ett API i Google Cloud-projektet.

1. Öppna sidan Tjänstkonton i Google Cloud Console och skapa ett domänomfattande tjänstkonto. Mer information finns i Skapa och hantera tjänstkonton.
2. Skapa en privat nyckel för ett tjänstkonto och spara nyckeln i en JSON-fil i det lokala systemet, till exempel svc_acct_creds.json. Den här filen innehåller de användaruppgifter som du använder när du konfigurerar Gmail för användare. Mer information finns i Skapa och hantera tjänstkontonycklar.

I det här steget använder du tjänstkontot som du skapade för att ge alla dina användare redigeringsåtkomst till Gmail API:t.

1. Följ anvisningarna för att styra API-åtkomst med domänomfattande delegering.
2. Ange följande när du blir ombedd:

   Klient-id: Klient-id för tjänstkontot som skapades i steg 2 ovan.

   OAuth-omfattningar: gmail.settings.readonly och antingen gmail.settings.basic eller gmail.settings.sharing

För varje användare som ska använda CSE för Gmail för att skicka eller ta emot e-post:

Generera ett offentligt/privat S/MIME-nyckelpar med en certifikatkedja med hjälp av en certifikatutfärdare (CA). S/MIME-bladcertifikatet måste innehålla användarens primära Gmail-adress som ämnesnamn eller SAN-tilläggsämne.

Du kan göra något av följande:

• Använd ett CA-rotcertifikat som är betrott av Google: En lista med rotcertifikat finns i CA-certifikat som är betrodda av Gmail för S/MIME.
• Använd en certifikatutfärdare som inte är betrodd av Google: Om du till exempel vill använda din egen certifikatutfärdare kan du lägga till rotcertifikatet i administratörskonsolen. Mer information finns i Hantera betrodda certifikat för S/MIME.

  Obs! Om du använder en certifikatutfärdare som inte är betrodd av Google och användarna skickar e-postmeddelanden som är krypterade på klientsidan utanför organisationen måste mottagaren också lita på certifikatutfärdaren.

Använd nyckelkrypteringstjänsten för att kryptera eller ”kapsla in” metadata för S/MIME privata nycklar. Kontakta nyckeltjänsten för att göra detta eller följ anvisningarna de tillhandahåller.

Om du använder kryptering av maskinvarunyckel: Hoppa över detta steg och omge inte metadata om privat nyckel för användare som ska använda kryptering av maskinvarunyckel. I detta fall behöver du inte kapsla in metadatan eftersom användarnas privata nycklar för Gmail finns på deras smartkort. Kräver tillägget Säkra kontroller eller Säkra kontroller Plus.

Använd Gmail API för att ladda upp alla användares S/MIME-certifikatkedja för offentlig nyckel och metadata för privat nyckel till Gmail, och ange dem som önskade nycklar för användarna genom att skapa en identitet.

Obs! Du måste använda Gmail API för att ladda upp certifikat, inte Gmail-klienten. Observera även att möjligheten att ladda upp certifikat från Gmail-klienten inaktiveras när du aktiverar CSE för Gmail.

Jämför följande steg för varje användare med den privata nyckelfil som du laddar ned när du skapar ett domänomfattande tjänstkonto för autentisering:

1. Ladda upp certifikatkedjan och metadata för den privata nyckeln med Gmail API-anropet keypairs.create.
2. Aktivera nyckelparet för användarens primära e-postadress med Gmail API-anropet identities.create.

   Anropet identities.create kräver det nyckelpar-id som returneras i svarstexten för anropet keypairs.create.

   Obs! Aktivera nyckelparet för en användares e-postadress:

   • Skapar en CSE-identitet som är auktoriserad att skicka e-post från användarens konto.
   • Konfigurerar Gmail för att använda metadata för privat nyckel för att signera utgående CSE-post.
   • Publicerar certifikatet på en delad domänomfattande lagringsplats så att andra CSE-användare i organisationen kan kryptera meddelanden som skickas till den här användaren.

Använd ett skript som fungerar med Gmail API för att slutföra de här stegen. Du kan göra något av följande:

• Skriv ett eget manus.
• Använd Python-exempelskriptet som Google tillhandahåller. Anvisningar finns i Använda Googles Python-skript för att ladda upp användarnas certifikat och kapslade nycklar till Gmail senare på den här sidan.

  Obs! Detta skript gäller enbart för användare som använder en nyckeltjänst för att kryptera Gmail-innehåll. För användare som ska använda kryptering av maskinvarunyckel måste du skapa ett annat skript för att ladda upp deras metadata för privat nyckel som inte har omslutits.

När du har laddat upp certifikaten kan det ta upp till 24 timmar innan de blir tillgängliga i Gmail, men det går vanligtvis mycket snabbare.

Du kan slutföra steg 3 ovan genom att använda Python-skriptet som Google tillhandahåller i stället för att skriva ett eget skript.

Obs! Det här skriptet begär de tre omfattningar som du kan använda för att ge Gmail API domänåtkomst (som anges tidigare på den här sidan): gmail.settings.readonly, gmail.settings.basic och gmail.settings.sharing. Om du vill använda skriptet kan du antingen aktivera alla tre omfattningar eller ta bort omfattningen du inte använder från skriptet.

Ladda ned manuset

Ladda ned Python-skriptpaketet (.zip) till datorn (Mac, Linux eller Windows) och extrahera filerna till arbetskatalogen.

Skapa en virtuell miljö och installera moduler

Ange följande kommandon på kommandoraden i arbetskatalogen:

Anropa skriptet

Ladda upp användarens certifikat och nycklar

Steg 1: Skapa en katalog för att lagra alla kapslade privata nycklar

• Du kan till exempel skapa katalogen $root/wrapped_keys.
• Filnamnet för varje inkapslad privat nyckel måste vara användarens fullständiga e-postadress med tillägget .wrap. Exempel: $root/wrapped_keys/user1@example.com.wrap
• Se till att den omslutna privata nyckelfilen har ett JSON-objekt med två obligatoriska fält:

Steg 2: Skapa en katalog för att lagra alla certifikat

• Certifikaten måste vara i P7 PEM-format, så du kan skapa katalogen $root/p7pem_certs.
• Se till att certifikatfilen innehåller hela kedjan till rotcertifikatutfärdaren (CA).
• Filnamnet för varje certifikat måste vara användarens fullständiga e-postadress med tillägget .p7pem. Exempel: $root/p7pem_certs/user1@example.com.p7pem

Om du har en P7B-fil: Du kan använda följande openssl-kommentar för att konvertera den till P7 PEM-formatet:

Steg 3: Ladda upp användarnas nyckelpar och identiteter

För detta steg behöver du JSON-filen med användaruppgifterna för tjänstkontot som du sparade på datorn i Steg 2: Skapa ett tjänstkonto ovan.

Det enklaste sättet att ladda upp användarnas nyckelpar och identiteter är att köra kommandot insert. Observera att varje kommando måste ha ett argument, till exempel:

Du kan även göra följande för varje användare:

1. Kör insert_keypair och notera nyckelpar-id:t.
2. Kör insert_identity med detta nyckelpars-id.

Du kan även hämta nyckelpar-id:t genom att köra kommandot list_keypair.

Steg 4: Verifiera att användarna har CSE-nyckelpar och identiteter

Kontrollera att användarna har giltiga nyckelpar och identiteter i Gmail genom att köra följande kommandon för varje användare:

list_keypair

list_identity