Ondersteunde versies voor deze functie: Frontline Plus, Enterprise Plus, Education Standard en Education Plus. Versies vergelijken
Als beheerder kunt u externe gebruikers toegang geven tot uw content die is versleuteld met versleuteling aan de clientzijde (VCZ) van Google Workspace. Er zijn 2 methoden om externe toegang te geven:
- Stel toegang in voor externe organisaties die ook VCZ gebruiken. Met deze methode kunt u een externe organisatie toegang geven tot versleutelde content als deze voldoet aan de vereisten voor gebruikers en VCZ.
- Een identiteitsprovider (IdP) voor gasten instellen om toegang voor externe gebruikers toe te staan Met deze methode kunnen uw gebruikers zowel Google- als niet-Google-accounts toegang geven tot uw aan de clientzijde versleutelde content. Externe organisaties hoeven VCZ niet in te stellen en hun gebruikers hebben geen Google Workspace- of Cloud Identity-licentie nodig.
Over externe toegang tot versleutelde e-mails
U heeft 2 opties om externe toegang te geven tot e-mailberichten met versleuteling aan de clientzijde.
Optie 1: End-to-end versleuteling van Gmail gebruiken zonder S/MIME
Als gebruikers berichten met versleuteling aan de clientzijde uitwisselen met externe gebruikers die misschien geen S/MIME gebruiken, kunt u de optie Versleuteling voor gastaccounts gebruiken. Deze optie gebruikt end-to-end versleuteling (E2EE) voor Gmail om versleutelde communicatie met externe gebruikers automatisch te verwerken, zonder dat u traditionele S/MIME-instellingen of -certificaten nodig heeft. Met E2EE voor Gmail kunnen gebruikers versleutelde berichten sturen naar externe gebruikers. Hiervoor is de add-on Assured Controls of Assured Controls Plus vereist.
Zo geeft u externe toegang met E2EE voor Gmail:
- U moet een gast-IdP instellen, zoals verderop op deze pagina wordt beschreven.
- Als een gebruiker een versleuteld bericht buiten uw organisatie stuurt, wordt de externe ontvanger gevraagd een gastaccount te maken om het bericht te openen.
- U kunt gastaccounts beheren in de organisatie-eenheid Workspace-gasten in de Beheerdersconsole. Deze organisatie-eenheid wordt automatisch gemaakt nadat u Versleuteling voor gastaccounts heeft aangezet en een IdP voor gasten heeft ingesteld. Ga naar Workspace-gasten beheren voor meer informatie.
Ga naar Meer informatie over versleuteling aan de clientzijde voor Gmail voor meer informatie over hoe u e-mails stuurt en krijgt die zijn versleuteld aan de clientzijde en hoe u gastaccounts maakt.
Optie 2: S/MIME-certificaten gebruiken
Als gebruikers alleen berichten met versleuteling aan de clientzijde uitwisselen met externe gebruikers die S/MIME gebruiken, is er geen extra instelling nodig. U hoeft geen identiteitsprovider voor gasten te gebruiken en externe gebruikers hebben geen Google Workspace- of Cloud Identity-licentie nodig.
Externe toegang instellen voor externe organisaties die VCZ gebruiken
Als een externe organisatie en uw organisatie voldoen aan de volgende vereisten, kunt u de externe organisatie toegang geven tot de aan de clientzijde versleutelde content van uw organisatie voor Drive, Documenten, Agenda en Meet.
Licentievereisten voor externe gebruikers
Externe gebruikers moeten een Google Workspace- of Cloud Identity-licentie hebben om toegang te krijgen tot gegevens die zijn versleuteld met VCZ.
Opmerking: Met deze externe toegangsmethode hebben gebruikers met een (onbeheerd) Google-account voor consumenten of een bezoekersaccount geen toegang tot de content van uw organisatie die is versleuteld aan de clientzijde.
Installatievereisten voor externe organisaties
Externe organisaties moeten ook VCZ instellen om toegang te krijgen tot de content die is versleuteld aan de clientzijde van uw organisatie.
Installatievereisten voor uw organisatie
- Zorg dat de IdP-service van de externe organisatie op de toelatingslijst staat met uw service voor versleutelingssleutels. U vindt de IdP-service meestal in hun openbare .well-known-bestand, als ze dit hebben ingesteld. Vraag anders de Google Workspace-beheerder van de externe organisatie om de IdP-gegevens.
- Zorg dat de beheerder begrijpt dat gebruikers hun verificatietokens moeten doorgeven aan uw sleutelservice om de versleutelde content van uw organisatie te kunnen bekijken of bewerken. Tijdens het verificatieproces moeten gebruikers hun IP-adres en andere identiteitsinformatie delen. Ga voor meer informatie naar Verificatietokens in de API-referentiehandleiding voor versleuteling aan de clientzijde.
- Afhankelijk van het beveiligingsbeleid van u en de externe organisatie moeten ze misschien ook afzonderlijke web- en mobiele client-ID's maken voor toegang tot de versleutelde content van uw organisatie. U moet deze client-ID's op de toelatingslijst voor de versleutelingssleutelservice zetten.
Een gast-IdP instellen voor externe gebruikers
Als u externe organisaties toegang wilt geven tot uw content die is versleuteld aan de clientzijde, kunt u een IdP voor gasten instellen om externe gebruikers te verifiëren met dezelfde IdP die u gebruikt of met een andere. Met een gast-IdP kunnen uw gebruikers versleutelde content delen met anderen in externe organisaties, ongeacht of deze organisaties ook VCZ gebruiken.
Opmerking: Als u al externe toegang heeft ingesteld voor organisaties die ook VCZ gebruiken (zoals eerder beschreven op deze pagina), wordt deze installatie genegeerd als u een gast-IdP instelt.
Een IdP voor gasten instellen in de Beheerdersconsole
Volg de instructies om een IdP in te stellen in Koppelen met identiteitsprovider voor versleuteling aan de clientzijde. Tijdens het instellen doet u het volgende:
- Kies een IdP die voldoet aan OIDC: Voor Gmail en Google Meet kunt u een IdP van derden of een Google-identiteit gebruiken. Voor Google Drive en editors van Documenten kunt u alleen een externe IdP gebruiken. Deze beperking zorgt voor ondersteuning voor bezoekersaccounts voor Drive en Documenten. De IdP van derden kan dezelfde IdP zijn die u gebruikt voor uw gebruikers of een andere IdP.
- Maak een aanvullende client-ID voor Google Meet: Tijdens de stap waarin u een client-ID voor webservices maakt, maakt u een aanvullende client-ID voor Google Meet.
De primaire client-ID voor webservices wordt gebruikt voor de service voor sleutelversleuteling en wordt niet gedeeld met de systemen van Google. De aanvullende client-ID voor Meet wordt gebruikt om te controleren of gasten die niet zijn ingelogd bij de Meet, zijn uitgenodigd voor de vergadering.
- Gebruik de Beheerdersconsole om uw gast-IdP in te stellen: U moet in de Beheerdersconsole uw IdP-verbinding voor gasten instellen en de optie IdP voor gastsessie instellen kiezen. U kunt de gast-IdP niet instellen met een .well-known-bestand.
Verificatieopties voor gast-IdP's instellen
Nadat u de IdP-configuratie heeft afgerond in de Beheerdersconsole, kunt u de tools van uw IdP gebruiken om in te stellen hoe externe gebruikers worden geverifieerd. Afhankelijk van de implementatie van uw IdP voor gasten zijn de volgende opties mogelijk beschikbaar:
- Stel aparte accounts in voor gasten en geef ze het accountwachtwoord.
- Stuur gasten eenmalige codes om hun e-mailadres te verifiëren.
- Sta gasten toe vooraf ingestelde IdP's te gebruiken, zoals Google, Apple of Microsoft.
Opmerking: Met Google-identiteit kunnen gebruikers inloggen met hun Google-account. Als een gebruiker geen account heeft, dan kan deze een account maken.
Bij elke verificatiemethode krijgen gasten een pop-upbericht waarin ze wordt gevraagd in te loggen bij een identiteitsprovider voordat ze toegang krijgen tot content die is versleuteld aan de clientzijde.