Nur Gmail: S/MIME für die clientseitige Verschlüsselung konfigurieren

1. Erstellen Sie ein neues GCP-Projekt. Weitere Informationen finden Sie unter Projekte erstellen und verwalten.

   Notieren Sie sich die Projekt-ID:Mit dieser gewähren Sie der API den domainweiten Zugriff.

2. Aktivieren Sie über die Google API Console im neuen Projekt die Gmail API. Weitere Informationen finden Sie unter API im Google Cloud-Projekt aktivieren.

1. Rufen Sie in der Google Cloud Console die Seite Dienstkonten auf und erstellen Sie ein dienstkontoübergreifendes Dienstkonto. Weitere Informationen finden Sie unter Dienstkonten erstellen und verwalten.
2. Erstellen Sie einen privaten Dienstkontoschlüssel und speichern Sie ihn in einer JSON-Datei in Ihrem lokalen System, z. B. svc_acct_creds.json. Diese Datei enthält die Anmeldedaten, die Sie beim Einrichten von Gmail für Nutzer verwenden. Weitere Informationen finden Sie unter Dienstkontoschlüssel erstellen und verwalten.

In diesem Schritt verwenden Sie das von Ihnen erstellte Dienstkonto, um allen Nutzern Bearbeitungszugriff auf die Gmail API zu gewähren.

1. Folgen Sie der Anleitung unter Zugriff auf die API mit domainweiter Delegierung verwalten.
2. Wenn Sie dazu aufgefordert werden, geben Sie Folgendes ein:

   Client-ID des Dienstkontos aus Schritt 2

   OAuth-Bereiche:gmail.settings.readonly und entweder gmail.settings.basic oder gmail.settings.sharing

Für jeden Nutzer, der die clientseitige Verschlüsselung in Gmail zum Senden oder Empfangen von E-Mails verwenden soll:

Generieren Sie mithilfe einer Zertifizierungsstelle ein Schlüsselpaar aus einem öffentlichen und privaten S/MIME-Schlüssel mit einer Zertifikatskette. Das untergeordnete S/MIME-Zertifikat muss die primäre Gmail-Adresse des Nutzers als Subjektnamen oder SAN-Erweiterungssubjekt enthalten.

Sie haben folgende Möglichkeiten:

• Ein Root-Zertifikat einer von Google als vertrauenswürdig eingestuften Zertifizierungsstelle verwenden:Eine Liste mit vertrauenswürdigen CA-Zertifikaten für S/MIME in Gmail finden Sie hier.
• Eine Zertifizierungsstelle verwenden, die von Google nicht als vertrauenswürdig eingestuft wurde:Wenn Sie beispielsweise eine eigene Zertifizierungsstelle verwenden möchten, können Sie das Root-Zertifikat in der Admin-Konsole hinzufügen. Weitere Informationen finden Sie im Hilfeartikel Vertrauenswürdige Zertifikate für S/MIME verwalten.

  Hinweis:Wenn Sie eine Zertifizierungsstelle verwenden, die von Google nicht als vertrauenswürdig eingestuft wurde, und Nutzer clientseitig verschlüsselte E‑Mails außerhalb Ihrer Organisation senden, muss auch der Empfänger dieser Zertifizierungsstelle vertrauen.

Verwenden Sie Ihren Schlüsseldienst zum Verschlüsseln oder „Verpacken“ der Metadaten des privaten S/MIME-Schlüssels. Wenden Sie sich dafür an Ihren Schlüsseldienst oder folgen Sie der bereitgestellten Anleitung.

Wenn Sie die Hardwareschlüsselverschlüsselung verwenden: Überspringen Sie diesen Schritt und verpacken Sie die Metadaten des privaten Schlüssels nicht für Nutzer, die die Hardwareschlüsselverschlüsselung verwenden. In diesem Fall ist das Verpacken der Metadaten nicht erforderlich, da sich die privaten Schlüssel für Gmail auf den Smartcards der Nutzer befinden. Erfordert das Assured Controls- oder Assured Controls Plus-Add-on.

Verwenden Sie die Gmail API, um die S/MIME-Zertifikatskette des öffentlichen Schlüssels und die Metadaten des privaten Schlüssels für jeden Nutzer in Gmail hochzuladen und sie als bevorzugte Schlüssel für die Nutzer festzulegen. Dazu erstellen Sie eine Identität.

Hinweis:Sie müssen die Gmail API verwenden, nicht den Gmail-Client, um Zertifikate hochzuladen. Außerdem ist das Hochladen von Zertifikaten über den Gmail-Client deaktiviert, wenn Sie die clientseitige Verschlüsselung für Gmail aktivieren.

Führen Sie die folgenden Schritte für jeden Nutzer aus. Verwenden Sie dazu die private Schlüsseldatei, die Sie beim Erstellen eines dienstkontobezogenen Dienstkontos zur Authentifizierung heruntergeladen haben:

1. Laden Sie die Metadaten der Zertifikatskette und des privaten Schlüssels über den Gmail-API-Aufruf keypairs.create hoch.
2. Aktivieren Sie das Schlüsselpaar für die primäre E-Mail-Adresse des Nutzers über den Gmail API-Aufruf identities.create.

   Für den Aufruf identities.create ist die Schlüsselpaar-ID erforderlich, die im Antworttext des Aufrufs keypairs.create zurückgegeben wird.

   Hinweis:So aktivieren Sie das Schlüsselpaar für die E-Mail-Adresse eines Nutzers:

   • Erstellt eine CSE-Identität, die berechtigt ist, E-Mails über das Konto des Nutzers zu senden.
   • Konfiguriert Gmail so, dass die Metadaten des privaten Schlüssels zum Signieren ausgehender E‑Mails mit clientseitiger Verschlüsselung verwendet werden.
   • Das Zertifikat wird in einem gemeinsamen domainweiten Repository veröffentlicht, damit andere Nutzer in Ihrer Organisation, die die clientseitige Verschlüsselung verwenden, Nachrichten verschlüsseln können, die an diesen Nutzer gesendet werden.

Verwenden Sie für diese Schritte ein Script, das mit der Gmail API interagiert. Sie haben folgende Möglichkeiten:

• Schreiben Sie Ihr eigenes Script.
• Verwenden Sie das von Google bereitgestellte Python-Beispielskript. Eine Anleitung dazu finden Sie weiter unten auf dieser Seite im Abschnitt Python-Script von Google verwenden, um Zertifikate und verpackte Schlüssel von Nutzern in Gmail hochzuladen.

  Hinweis:Dieses Script gilt nur für Nutzer, die einen Schlüsseldienst verwenden, um Gmail-Inhalte zu verschlüsseln. Für alle Nutzer, die die Hardwareschlüsselverschlüsselung verwenden, müssen Sie ein anderes Script erstellen, um die Metadaten des entpackten privaten Schlüssels hochzuladen.

Nachdem Sie die Zertifikate hochgeladen haben, kann es bis zu 24 Stunden dauern, bis sie in Gmail verfügbar sind. In der Regel geht es aber schneller.

Um Schritt 3 oben abzuschließen, können Sie das von Google bereitgestellte Python-Script verwenden, anstatt Ihr eigenes Script zu schreiben.

Hinweis:In diesem Script werden Sie aufgefordert, die drei Bereiche anzugeben, mit denen Sie der Gmail API domainweite Zugriffe gewähren können (weiter oben auf dieser Seite aufgeführt): gmail.settings.readonly, gmail.settings.basic und gmail.settings.sharing. Wenn Sie das Script verwenden möchten, können Sie entweder alle drei Bereiche aktivieren oder den nicht verwendeten Bereich aus dem Script entfernen.

Laden Sie das Skript herunter

Laden Sie das Python-Skriptpaket (.zip) auf Ihren Computer (Mac, Linux oder Windows) herunter und extrahieren Sie die Dateien in Ihr Arbeitsverzeichnis.

Virtuelle Umgebung erstellen und Module installieren

Geben Sie in der Befehlszeile Ihres Arbeitsverzeichnisses die folgenden Befehle ein:

Skript aufrufen

Zertifikate und Schlüssel des Nutzers hochladen

Schritt 1: Verzeichnis zum Speichern aller verpackten privaten Schlüssel erstellen

• Sie können beispielsweise das Verzeichnis $root/wrapped_keys erstellen.
• Der Dateiname für jeden verpackten privaten Schlüssel muss die vollständige E-Mail-Adresse des Nutzers mit der Erweiterung .wrap sein. Beispiel: $root/wrapped_keys/user1@example.com.wrap
• Die Datei mit dem umschlossenen privaten Schlüssel muss ein JSON-Objekt mit zwei erforderlichen Feldern enthalten:

Schritt 2: Verzeichnis zum Speichern aller Zertifikate erstellen

• Zertifikate müssen im P7-PEM-Format vorliegen. Erstellen Sie daher das Verzeichnis $root/p7pem_certs.
• Die Zertifikatsdatei muss die vollständige Kette zur Stammzertifizierungsstelle enthalten.
• Der Dateiname für jedes Zertifikat muss die vollständige E-Mail-Adresse des Nutzers mit der Erweiterung .p7pem sein. Beispiel: $root/p7pem_certs/user1@example.com.p7pem

Wenn Sie eine P7B-Datei haben, können Sie sie mit dem folgenden openssl-Kommentar in das P7-PEM-Format konvertieren:

Schritt 3: Schlüsselpaare und Identitäten des Nutzers hochladen

Für diesen Schritt benötigen Sie die JSON-Datei mit den Anmeldedaten für das Dienstkonto, das Sie oben in Schritt 2: Dienstkonto erstellen auf Ihrem Computer gespeichert haben.

Am einfachsten lassen sich die Schlüsselpaare und Identitäten der Nutzer mit dem Befehl insert hochladen. Beachten Sie, dass jeder Befehl ein Argument haben muss, z. B.:

Alternativ können Sie für jeden Nutzer Folgendes tun:

1. Führen Sie insert_keypair aus und notieren Sie sich die Schlüsselpaar-ID.
2. Führen Sie insert_identity mit dieser Schlüsselpaar-ID aus.

Sie können die ID des Schlüsselpaars auch mit dem Befehl list_keypair abrufen.

Schritt 4: Prüfen, ob Nutzer CSE-Schlüsselpaare und Identitäten haben

Prüfen Sie, ob Nutzer in Gmail gültige Schlüsselpaare und Identitäten haben. Führen Sie dazu für jeden Nutzer die folgenden Befehle aus:

list_keypair

list_identity