Utgåvor som stöds för den här funktionen: Frontline Plus, Enterprise Plus, Education Standard och Education Plus. Jämför utgåvor
Som administratör kan du ge externa användare åtkomst till innehåll som är krypterat med Google Workspace-kryptering på klientsidan (CSE). Det finns två metoder för att ge extern åtkomst:
- Konfigurera åtkomst för externa organisationer som också använder CSE. Med den här metoden kan du ge en extern organisation åtkomst till krypterat innehåll om den uppfyller kraven för användare och CSE.
- Konfigurera en gästidentitetsleverantör (IdP) för att ge åtkomst till alla externa användare Med den här metoden kan dina användare ge åtkomst till ditt krypterade innehåll på klientsidan till både Google-konton och konton som inte kommer från Google. Externa organisationer behöver inte konfigurera CSE och deras användare behöver inte en Google Workspace- eller Cloud Identity-licens.
Om extern åtkomst till krypterad e-post
Du har två alternativ för att ge extern åtkomst till e-postmeddelanden som är krypterade på klientsidan.
Alternativ 1: Använd Gmail E2EE utan S/MIME
Om användarna utbyter krypterade meddelanden på klientsidan med externa användare som kanske inte använder S/MIME kan du använda alternativet Kryptering med gästkonton. Det här alternativet använder Gmails end-to-end-kryptering (E2EE) för att hantera krypterad kommunikation med externa användare automatiskt, utan att kräva traditionell S/MIME-konfiguration eller certifikat. Med Gmail E2EE kan användare skicka krypterade meddelanden till alla externa användare. Kräver tillägget Säkra kontroller eller Säkra kontroller Plus.
Så här ger du extern åtkomst med Gmail E2EE:
- Du måste konfigurera en gäst-IdP enligt beskrivningen senare på den här sidan.
- När en användare skickar ett krypterat meddelande utanför organisationen uppmanas den externa mottagaren att skapa ett gästkonto för att öppna meddelandet.
- Du kan hantera gästkonton i organisationsenheten Workspace-gäster i administratörskonsolen. Organisationsenheten skapas automatiskt när du aktiverar Kryptering med gästkonton och konfigurerar en gäst IdP. Mer information finns i Hantera Workspace-gäster.
Mer information om att skicka och ta emot e-postmeddelanden som är krypterade på klientsidan och skapa gästkonton finns i Läs mer om kryptering på klientsidan i Gmail.
Alternativ 2: Använd S/MIME-certifikat
Om användarna endast utbyter krypterade meddelanden på klientsidan med externa användare som använder S/MIME krävs ingen ytterligare konfiguration. Du behöver inte använda en IdP för gäster och externa användare behöver ingen Google Workspace- eller Cloud Identity- licens.
Konfigurera extern åtkomst för externa organisationer som använder CSE
Om en extern organisation och din organisation uppfyller följande krav kan du ge den externa organisationen åtkomst till organisationens innehåll som är krypterat på klientsidan för Drive och Dokument, Kalender och Meet.
Licenskrav för externa användare
Externa användare måste ha en Google Workspace- eller Cloud Identity-licens för att få åtkomst till data som krypterats med CSE.
Obs! Med den här metoden för extern åtkomst kan användare med ett Google-konsumentkonto (ohanterat) eller ett besökarkonto inte få åtkomst till organisationens innehåll som är krypterat på klientsidan.
Krav på inställningar för externa organisationer
Externa organisationer måste också konfigurera CSE för att få åtkomst till organisationens innehåll som är krypterat på klientsidan.
Konfigurationskrav för organisationen
- Den externa organisationens IdP-tjänst måste finnas på godkännandelistan för din krypteringsnyckeltjänst. Du hittar vanligtvis IdP-tjänsten i den offentliga .well-known-filen, om den har konfigurerats. Kontakta annars den externa organisationens Google Workspace-administratör för mer information om IdP.
- Se till att administratören förstår att användarna måste tillhandahålla nyckeltjänsten sina autentiseringstokens för att visa eller redigera organisationens krypterade innehåll. Autentiseringsprocessen kräver att en användare delar sin IP-adress och annan identitetsinformation. Mer information finns i Autentiseringstoken i referensguiden för kryptering på klientsidan.
- Beroende på din och den externa organisationens säkerhetspolicyer kan de även behöva skapa separata webb- och mobilklient-id:n för åtkomst till organisationens krypterade innehåll. Du måste vitlista dessa klient-id:n med krypteringsnyckeltjänsten.
Konfigurera en gäst-IdP för externa användare
Om du vill ge externa organisationer åtkomst till ditt krypterade innehåll på klientsidan kan du konfigurera en gäst-IdP för att autentisera externa användare med samma IdP som du använder eller en annan. Med en extern IdP kan användarna dela krypterat innehåll med andra i externa organisationer, oavsett om organisationerna också använder CSE.
Obs! Om du redan har konfigurerat extern åtkomst för organisationer som också använder CSE (enligt beskrivningen tidigare på den här sidan) ignoreras denna konfiguration när du konfigurerar en gäst-IdP.
Konfigurera en gäst-IdP i administratörskonsolen
Följ anvisningarna för att konfigurera en identitetsleverantör i Anslut till identitetsleverantör för kryptering på klientsidan. Under konfigureringen gör du följande:
- Välj en OIDC-kompatibel IdP – för Gmail och Google Meet kan du använda antingen en extern IdP eller en Google-identitet. För Google Drive och Dokumentredigerare kan du dock bara använda en extern IdP. Den här begränsningen säkerställer stöd för besökarkonton för Drive och Dokument. Den externa IdP:n kan vara samma IdP som du använder för dina användare eller en annan.
- Skapa ett ytterligare klient-id för Google Meet – när du skapar klient-id för webbtjänster måste du skapa ett ytterligare klient-id för Google Meet.
Det primära klient-id:t för webbtjänster används för nyckelkrypteringstjänsten och delas inte med Googles system. Det ytterligare klient-id:t för Meet används för att verifiera att gäster som inte är inloggade i Meet har bjudits in till mötet.
- Använd administratörskonsolen för att konfigurera gäst-IdP – du måste använda administratörskonsolen för att konfigurera gäst-IdP-anslutningen och välja alternativet Konfigurera gäst-IdP. Du kan inte konfigurera din gäst-IdP med en .well-known-fil.
Konfigurera autentiseringsalternativ för gäst-IdP
När du har slutfört IdP-konfigurationen i administratörskonsolen kan du använda IdP:ns verktyg för att konfigurera hur externa användare autentiseras. Beroende på hur du har implementerat gäst-IdP kan följande alternativ vara tillgängliga:
- Skapa separata konton för gäster och ge dem kontolösenorden.
- Skicka engångskoder till gästerna för att verifiera deras e-postadress.
- Tillåt gäster att använda förkonfigurerade IdP:er, till exempel Google, Apple eller Microsoft.
Obs! Med Google-identitet kan användarna logga in med sitt Google-konto. Användare som inte har ett konto kan skapa ett.
Oavsett autentiseringsmetod visas ett popup-meddelande där gästerna uppmanas att logga in med en identitetsleverantör innan de kan komma åt krypterat innehåll på klientsidan.