Поддерживаемые версии для этой функции: Frontline Plus; Enterprise Plus; Education Standard и Education Plus. Сравните вашу версию.
Как администратор, вы можете разрешить внешним пользователям доступ к вашему контенту, зашифрованному с помощью клиентского шифрования Google Workspace (CSE). Существует 2 способа предоставления внешнего доступа:
- Настройте доступ для внешних организаций, которые также используют CSE . Таким образом, вы можете предоставить внешней организации доступ к зашифрованному контенту, если она соответствует требованиям пользователя и CSE.
- Настройте поставщика идентификации (IdP) для гостей, чтобы разрешить доступ любым внешним пользователям. Этот метод позволит вашим пользователям предоставлять доступ к зашифрованному на стороне клиента контенту как для учетных записей Google, так и для учетных записей, не относящихся к Google. Внешним организациям не нужно настраивать CSE, а их пользователям не требуется лицензия Google Workspace или Cloud Identity.
About external access to encrypted email
У вас есть 2 варианта предоставления внешнего доступа к зашифрованным на стороне клиента электронным письмам.
Option 1: Use Gmail E2EE without S/MIME
Если пользователи будут обмениваться зашифрованными сообщениями на стороне клиента с внешними пользователями, которые могут не использовать S/MIME, вы можете использовать опцию «Шифрование с гостевыми учетными записями» . Эта опция использует сквозное шифрование Gmail (E2EE) для автоматической обработки зашифрованных сообщений с внешними пользователями без необходимости традиционной настройки S/MIME или сертификатов. С помощью Gmail E2EE пользователи могут отправлять зашифрованные сообщения любым внешним пользователям. Требуется наличие дополнения Assured Controls или Assured Controls Plus .
To provide external access using Gmail E2EE:
- Вам необходимо настроить гостевой поставщик идентификации (IdP) , как описано далее на этой странице.
- Когда пользователь отправляет зашифрованное сообщение за пределы вашей организации, внешнему получателю предлагается создать гостевую учетную запись, чтобы открыть сообщение.
- В консоли администратора вы можете управлять гостевыми учетными записями в организационной единице « Гости рабочего пространства» . Эта организационная единица создается автоматически после включения шифрования для гостевых учетных записей и настройки поставщика идентификации для гостей. Для получения более подробной информации перейдите в раздел «Управление гостями рабочего пространства» .
Подробную информацию об отправке и получении электронных писем с шифрованием на стороне клиента, а также о создании гостевых учетных записей см. в разделе «Узнайте больше о шифровании на стороне клиента в Gmail» .
Option 2: Use S/MIME certificates
Если пользователи будут обмениваться зашифрованными сообщениями на стороне клиента только с внешними пользователями, использующими S/MIME, дополнительная настройка не требуется. Вам не нужно использовать гостевой поставщик идентификации, а внешним пользователям не требуется лицензия Google Workspace или Cloud Identity.
Настройте внешний доступ для внешних организаций, использующих CSE.
Если внешняя организация и ваша организация соответствуют следующим требованиям, вы можете предоставить внешней организации доступ к зашифрованному на стороне клиента содержимому вашей организации для Google Диска и Документов, Календаря и Встреч.
Лицензионные требования для внешних пользователей
Для доступа к данным, зашифрованным с помощью CSE, внешним пользователям необходима лицензия Google Workspace или Cloud Identity.
Примечание: При использовании этого метода внешнего доступа пользователи с потребительской (неуправляемой) учетной записью Google или гостевой учетной записью не смогут получить доступ к зашифрованному на стороне клиента контенту вашей организации.
Setup requirements for external organizations
Для доступа к зашифрованному на стороне клиента контенту вашей организации внешним организациям также необходимо настроить CSE.
Setup requirements for your organization
- Добавьте службу IdP внешней организации в список разрешенных служб вместе со службой ключей шифрования. Обычно службу IdP можно найти в их общедоступном файле .wellknown, если он у них есть. В противном случае обратитесь к администратору Google Workspace внешней организации за информацией о её службе IdP.
- Убедитесь, что администратор понимает, что пользователям необходимо предоставлять свои токены аутентификации в вашу службу ключей для просмотра или редактирования зашифрованного контента вашей организации. Процесс аутентификации требует от пользователя предоставления своего IP-адреса и другой информации, позволяющей идентифицировать личность. Подробности см. в разделе «Токены аутентификации» в справочнике по API шифрования на стороне клиента.
- В зависимости от вашей политики безопасности и политики безопасности внешней организации, им также может потребоваться создать отдельные идентификаторы клиентов для веб- и мобильного доступа к зашифрованному контенту вашей организации. Вам необходимо будет добавить эти идентификаторы клиентов в список разрешенных в службе ключей шифрования.
Настройте гостевой поставщик идентификации (IdP) для любых внешних пользователей.
Чтобы предоставить внешним организациям доступ к вашему зашифрованному контенту на стороне клиента, вы можете настроить гостевой поставщик идентификации (IdP) для аутентификации внешних пользователей, используя тот же IdP, что и вы, или другой. С помощью гостевого IdP ваши пользователи могут обмениваться зашифрованным контентом с другими сотрудниками внешних организаций, независимо от того, используют ли эти организации также CSE.
Примечание: Если вы уже настроили внешний доступ для организаций, которые также используют CSE (как описано ранее на этой странице), эта настройка будет проигнорирована после настройки гостевого поставщика идентификации.
Configure a guest IdP in the Admin console
Следуйте инструкциям по настройке поставщика идентификации (IdP) в разделе «Подключение к поставщику идентификации для шифрования на стороне клиента» . В процессе настройки вы выполните следующие действия:
- Выберите поставщика идентификации (IdP), совместимого с OIDC. — Для Gmail и Google Meet вы можете использовать либо стороннего поставщика идентификации, либо учетную запись Google. Однако для редакторов Google Drive и Docs вы можете использовать только стороннего поставщика идентификации. Это ограничение обеспечивает поддержку гостевых учетных записей в Drive и Docs. Ваш сторонний поставщик идентификации может быть тем же поставщиком идентификации, который вы используете для своих пользователей, или другим.
- Создайте дополнительный идентификатор клиента для Google Meet — На этапе создания идентификатора клиента для веб-сервисов вам потребуется создать дополнительный идентификатор клиента для Google Meet.
Основной идентификатор клиента для веб-сервисов используется для службы шифрования ключей и не передается в системы Google. Дополнительный идентификатор клиента для Meet используется для проверки того, были ли приглашены на встречу гости, не вошедшие в Meet.
- Для настройки гостевого IdP используйте консоль администратора. — Для настройки подключения гостевого IdP необходимо использовать консоль администратора и выбрать опцию «Настроить гостевой IdP» . Настроить гостевой IdP с помощью файла .well-known невозможно.
Настройте параметры аутентификации гостевого поставщика идентификации (IDP).
После завершения настройки поставщика идентификации (IdP) в консоли администратора вы можете использовать инструменты вашего IdP для настройки способа аутентификации внешних пользователей. В зависимости от вашей реализации гостевого IdP могут быть доступны следующие параметры:
- Создайте отдельные учетные записи для гостей и предоставьте им пароли от этих учетных записей.
- Отправьте гостям одноразовые коды для подтверждения их адреса электронной почты.
- Разрешите гостям использовать предварительно настроенные поставщики идентификации, такие как Google, Apple или Microsoft.
Примечание: С помощью Google Identity пользователи могут входить в систему, используя свою учетную запись Google. Если у них нет учетной записи, они могут ее создать .
При любом методе аутентификации гостям будет показано всплывающее сообщение с просьбой войти в систему через поставщика идентификационных данных, прежде чем они смогут получить доступ к зашифрованному контенту на стороне клиента.