Chỉ dành cho Gmail: Thiết lập S/MIME cho tính năng mã hoá phía máy khách

1. Tạo một dự án GCP mới. Để biết thông tin chi tiết, hãy chuyển đến phần Tạo và quản lý dự án.

   Lưu ý về mã dự án: Bạn sẽ sử dụng mã này để cấp quyền truy cập trên toàn miền cho API.

2. Chuyển đến Google API Console rồi bật API Gmail cho dự án mới. Để biết thông tin chi tiết, hãy chuyển đến phần Bật API trong dự án Google Cloud.

1. Trong Google Cloud Console, hãy chuyển đến trang Tài khoản dịch vụ rồi tạo tài khoản dịch vụ trên toàn miền. Để biết thông tin chi tiết, hãy chuyển đến phần Tạo và quản lý tài khoản dịch vụ.
2. Tạo khoá riêng tư của tài khoản dịch vụ rồi lưu khoá vào một tệp JSON trên hệ thống cục bộ của bạn, chẳng hạn như svc_acct_creds.json. Tệp này chứa thông tin đăng nhập mà bạn sẽ sử dụng khi thiết lập Gmail cho người dùng. Để biết thông tin chi tiết, hãy chuyển đến phần Tạo và quản lý khoá tài khoản dịch vụ.

Trong bước này, bạn sẽ sử dụng tài khoản dịch vụ mà bạn đã tạo để cấp quyền chỉnh sửa API Gmail cho tất cả người dùng.

1. Làm theo hướng dẫn trong phần Kiểm soát quyền truy cập API bằng tính năng uỷ quyền trên toàn miền.
2. Nhập thông tin sau khi được nhắc:

   Mã ứng dụng: Mã ứng dụng của tài khoản dịch vụ được tạo trong Bước 2 ở trên.

   Phạm vi OAuth: gmail.settings.readonly và một trong hai gmail.settings.basic hoặc gmail.settings.sharing

Đối với mỗi người dùng sẽ sử dụng tính năng CSE của Gmail để gửi hoặc nhận email:

Sử dụng cơ quan cấp chứng chỉ (CA) để tạo cặp khoá công khai/riêng tư S/MIME có chuỗi chứng chỉ. Chứng chỉ S/MIME leaf phải bao gồm địa chỉ Gmail chính của người dùng dưới dạng tên chủ đề hoặc chủ đề tiện ích SAN.

Bạn có thể thực hiện một trong những thao tác sau:

• Sử dụng chứng chỉ gốc CA được Google tin cậy: Để xem danh sách chứng chỉ gốc, hãy chuyển đến phần Chứng chỉ CA được Gmail tin cậy cho S/MIME.
• Sử dụng CA không được Google tin cậy: Ví dụ: để sử dụng CA của riêng bạn, bạn có thể thêm chứng chỉ gốc của CA đó trong Bảng điều khiển dành cho quản trị viên. Để biết thông tin chi tiết, hãy chuyển đến phần Quản lý chứng chỉ đáng tin cậy cho S/MIME.

  Lưu ý: Nếu bạn sử dụng CA không được Google tin cậy và người dùng sẽ gửi email được mã hóa phía máy khách bên ngoài tổ chức của bạn, thì người nhận cũng phải tin cậy CA đó.

Sử dụng dịch vụ mã hoá khoá của bạn để mã hoá hoặc "gói" siêu dữ liệu của khoá riêng tư S/MIME. Liên hệ với dịch vụ khoá của bạn để thực hiện việc này hoặc làm theo hướng dẫn mà họ cung cấp.

Nếu bạn đang sử dụng tính năng mã hoá bằng khoá phần cứng – Hãy đảm bảo bạn bỏ qua bước này và không gói siêu dữ liệu khoá riêng tư cho bất kỳ người dùng nào sẽ sử dụng tính năng mã hoá bằng khoá phần cứng. Trong trường hợp này, bạn không cần gói siêu dữ liệu vì khoá riêng tư của người dùng cho Gmail nằm trên thẻ thông minh của họ. Yêu cầu phải có tiện ích bổ sung Quyền kiểm soát có đảm bảo hoặc Quyền kiểm soát có đảm bảo Plus.

Sử dụng API Gmail để tải chuỗi chứng chỉ S/MIME khoá công khai và siêu dữ liệu khoá riêng tư của mỗi người dùng lên Gmail, đồng thời đặt các chứng chỉ và siêu dữ liệu này làm khoá ưu tiên cho người dùng bằng cách tạo danh tính.

Lưu ý: Bạn cần sử dụng API Gmail để tải chứng chỉ lên, không phải ứng dụng Gmail. Ngoài ra, xin lưu ý rằng bạn sẽ không thể tải chứng chỉ lên từ ứng dụng Gmail khi bật tính năng CSE cho Gmail.

Hoàn tất các bước sau cho mỗi người dùng bằng tệp khoá riêng tư mà bạn đã tải xuống khi tạo tài khoản dịch vụ trên toàn miền để xác thực:

1. Tải chuỗi chứng chỉ và siêu dữ liệu khoá riêng tư lên bằng lệnh gọi API Gmail keypairs.create.
2. Bật cặp khoá cho địa chỉ email chính của người dùng bằng lệnh gọi API Gmail identities.create.

   Lệnh gọi identities.create yêu cầu mã cặp khoá được trả về trong nội dung phản hồi của lệnh gọi keypairs.create.

   Lưu ý: Bật cặp khoá cho địa chỉ email của người dùng:

   • Tạo danh tính CSE được uỷ quyền gửi email từ tài khoản của người dùng.
   • Định cấu hình Gmail để sử dụng siêu dữ liệu khoá riêng tư nhằm ký thư CSE gửi đi.
   • Phát hành chứng chỉ vào kho lưu trữ dùng chung trên toàn miền để những người dùng CSE khác trong tổ chức của bạn có thể mã hoá thư gửi cho người dùng này.

Để hoàn tất các bước này, hãy sử dụng một tập lệnh giao tiếp với API Gmail. Bạn có thể thực hiện một trong những thao tác sau:

• Viết tập lệnh của riêng bạn.
• Sử dụng tập lệnh mẫu Python mà Google cung cấp. Để biết hướng dẫn, hãy chuyển đến phần Sử dụng tập lệnh Python của Google để tải chứng chỉ và khoá được gói của người dùng lên Gmail sau trên trang này.

  Lưu ý: Tập lệnh này chỉ áp dụng cho những người dùng sẽ sử dụng dịch vụ khoá để mã hoá nội dung Gmail. Đối với bất kỳ người dùng nào sẽ sử dụng tính năng mã hoá bằng khoá phần cứng, bạn cần tạo một tập lệnh khác để tải siêu dữ liệu khoá riêng tư chưa được gói của họ lên.

Sau khi bạn tải chứng chỉ lên, có thể mất đến 24 giờ để chứng chỉ xuất hiện trong Gmail, mặc dù thường thì quá trình này diễn ra nhanh hơn nhiều.

Để hoàn tất Bước 3 ở trên, bạn có thể sử dụng tập lệnh Python mà Google cung cấp thay vì viết tập lệnh của riêng mình.

Lưu ý: Tập lệnh này yêu cầu 3 phạm vi mà bạn có thể sử dụng để cấp quyền truy cập trên toàn miền cho API Gmail (được liệt kê trước đó trên trang này): gmail.settings.readonly, gmail.settings.basic, và gmail.settings.sharing. Để sử dụng tập lệnh, bạn có thể bật cả 3 phạm vi hoặc xoá phạm vi mà bạn không sử dụng khỏi tập lệnh.

Tải tập lệnh xuống

Tải gói tập lệnh Python (.zip) xuống máy tính (Mac, Linux hoặc Windows) rồi trích xuất các tệp vào thư mục làm việc.

Tạo môi trường ảo và cài đặt mô-đun

Sử dụng dòng lệnh từ thư mục làm việc, hãy nhập các lệnh sau:

Gọi tập lệnh

Tải chứng chỉ và khoá của người dùng lên

Bước 1: Tạo thư mục để lưu trữ tất cả khoá riêng tư được gói

• Ví dụ: bạn có thể tạo thư mục $root/wrapped_keys.
• Tên tệp cho mỗi khoá riêng tư được gói phải là địa chỉ email đầy đủ của người dùng có đuôi .wrap. Ví dụ: $root/wrapped_keys/user1@example.com.wrap
• Đảm bảo tệp khoá riêng tư được gói có đối tượng JSON với 2 trường bắt buộc:

Bước 2: Tạo thư mục để lưu trữ tất cả chứng chỉ

• Chứng chỉ cần ở định dạng P7 PEM. Vì vậy, bạn có thể tạo thư mục $root/p7pem_certs.
• Đảm bảo tệp chứng chỉ chứa toàn bộ chuỗi đến cơ quan cấp chứng chỉ (CA) gốc.
• Tên tệp cho mỗi chứng chỉ phải là địa chỉ email đầy đủ của người dùng có đuôi .p7pem. Ví dụ: $root/p7pem_certs/user1@example.com.p7pem

Nếu bạn có tệp P7B: Bạn có thể sử dụng nhận xét openssl sau để chuyển đổi tệp đó sang định dạng P7 PEM:

Bước 3: Tải cặp khoá và danh tính của người dùng lên

Trong bước này, bạn cần có tệp JSON chứa thông tin đăng nhập cho tài khoản dịch vụ mà bạn đã lưu vào máy tính ở Bước 2: Tạo tài khoản dịch vụ ở trên.

Cách dễ nhất để tải cặp khoá và danh tính của người dùng lên là chạy lệnh insert. Xin lưu ý rằng mỗi lệnh phải có một đối số, ví dụ:

Ngoài ra, bạn có thể thực hiện như sau cho mỗi người dùng:

1. Chạy insert_keypair và lưu ý mã cặp khoá.
2. Chạy insert_identity bằng mã cặp khoá đó.

Bạn cũng có thể lấy mã cặp khoá bằng cách chạy lệnh list_keypair.

Bước 4: Xác minh rằng người dùng có cặp khoá và danh tính CSE

Đảm bảo người dùng có cặp khoá và danh tính hợp lệ trong Gmail bằng cách chạy các lệnh sau cho mỗi người dùng:

list_keypair

list_identity