Caso de uso: Exigir certificados empresariales

Ediciones compatibles con esta función: Frontline Standard y Frontline Plus; Enterprise Standard y Enterprise Plus; Education Standard y Education Plus; Chrome Enterprise Premium. Comparar tu edición

Los certificados empresariales ayudan a garantizar que los dispositivos de los usuarios sean de confianza para acceder a los servicios y datos de tu organización. En este ejemplo, crearás un nivel de Acceso adaptado al contexto que requiere que los dispositivos de los usuarios tengan un certificado empresarial emitido por la empresa para acceder a las apps.

La extensión de Verificación de extremos informa solo un certificado empresarial a la Consola del administrador de Google.

Antes de comenzar

Acerca de los certificados

  • Si tu empresa no tiene un certificado de la AC ni los certificados de cliente correspondientes, puedes crearlos a través del Servicio de autoridad certificadora de Google Cloud.
  • Los certificados de cliente deben admitir la autenticación de cliente (1.3.6.1.5.5.7.3.2).
  • En Windows, los certificados de cliente deben estar presentes en el almacén de certificados del usuario actual. No se pueden autenticar los certificados del almacén de certificados de la máquina local.

Configura la confianza en el certificado

Para recopilar y validar el certificado empresarial del dispositivo, debes subir las anclas de confianza que se usan para emitir el certificado del dispositivo. Las anclas de confianza son el certificado de la AC (autoridad certificadora) raíz y los certificados intermedios y subordinados pertinentes. Sigue estos pasos:

  1. En la Consola del administrador de Google, ve a Menú y luego Dispositivos y luego Redes.

    Es necesario tener el privilegio de administrador de la Configuración de dispositivos compartidos.

  2. Selecciona la unidad organizativa adecuada.
  3. Realiza una de las siguientes acciones:
    • Si no hay certificados en la sección Certificados, haz clic en Subir certificado.
    • Si hay certificados, haz clic en la sección Certificados y, luego, en Agregar certificado.
  4. Ingresa el nombre del certificado y súbelo.
  5. Haz clic en la casilla de verificación Habilitado para la verificación de extremos.
  6. Haga clic en Agregar.

Configura la política de Chrome

Para que la Verificación de extremos busque el certificado del dispositivo y lo recopile a través de Chrome, debes configurar la política de Chrome AutoSelectCertificateForURLs.

  1. En la Consola del administrador, ve a Dispositivos y luego Chrome y luego Configuración y luego Configuración de usuarios y navegadores y luego Certificados de cliente.
  2. Selecciona la unidad organizativa o el grupo que corresponda.

  3. Agrega la política AutoSelectCertificateForUrls con esta sintaxis: {"pattern":"https://[*.]clients6.google.com","filter":{"ISSUER":{"CN":"CERTIFICATE_ISSUER_NAME"}}}

    Reemplaza CERTIFICATE_ISSUER_NAME por el nombre común de la AC emisora. No modifiques el valor de pattern.

    Durante el proceso de recopilación y validación de certificados, el certificado de cliente habilita la conexión mTLS real con los hosts de clients6.google.com mencionados anteriormente.

Verifica la configuración de las políticas de Chrome

  1. Navega a chrome://policy en el navegador.
  2. Verifica que el valor configurado para AutoSelectCertificateForUrls sea el que se estableció en el paso 3 de Configura la política de Chrome, más arriba.
  3. Asegúrate de que el valor Se aplica a de la política esté configurado como Máquina. En el sistema operativo Chrome, el valor se aplica al Usuario actual*.

  4. Asegúrate de que el Estado de la política no tenga un Conflicto.

    Para obtener más información sobre la prioridad de las políticas y la resolución de conflictos de políticas, consulta Información sobre la administración de políticas de Chrome.

Verifica la colección de certificados de cliente en el dispositivo

  1. (En el extremo) Accede y inicia una sincronización con la extensión de Verificación de extremos de Google.

    Durante este paso, el certificado de cliente se valida en el lado del servidor con las anclas de confianza subidas en Configura la confianza del certificado más arriba.

  2. (Consola del administrador) Ve a Dispositivos y luego Dispositivos móviles y extremos y busca el dispositivo.

  3. Verifica que el certificado se muestre en la configuración de Verificación de extremos.

  4. Toma nota de los campos del certificado, como la huella digital de la CA raíz, la cadena de la entidad emisora o cualquier otro que aparezca en esta página, y usa estos valores para crear un nivel de acceso en Configura el nivel de acceso adaptado al contexto que se muestra a continuación.

  5. Puedes usar los registros de Verificación de extremos para solucionar cualquier problema. Para descargar los registros, sigue estos pasos:

    1. Haz clic con el botón derecho en la extensión de Verificación de extremos y, luego, ve a Opciones.
    2. Selecciona Nivel de registro y luego Todos y luego Descargar registros.
    3. Abre un caso con la asistencia de Google Workspace y comparte los registros para realizar una depuración más detallada.

Configura un nivel de acceso adaptado al contexto

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Control de acceso y datos y luego Acceso adaptado al contexto.

    Se requieren los privilegios de administración de reglas y nivel de acceso de seguridad de los datos y los privilegios de lectura de usuarios y grupos de la API de Admin.

  2. Selecciona Niveles de acceso.
  3. Haz clic en Crear un nivel de acceso.
  4. Agrega un nombre de nivel de acceso (por ejemplo, "Requerir certificado empresarial") y una descripción opcional.
  5. Haz clic en la pestaña Avanzado. En esta pestaña, compilas tu nivel de acceso personalizado en una ventana de edición con Common Expressions Language (CEL). Consulta Crea niveles de acceso adaptado al contexto, Define niveles de acceso - Modo avanzado para obtener más detalles.

  6. Agrega la expresión CEL para el nivel de acceso.

    El nivel de acceso puede probar diferentes atributos del certificado, como verificar la huella digital del certificado de la AC raíz (ejemplo 1) o comprobar si es un certificado válido emitido por una entidad emisora específica (ejemplo 2). Para obtener una lista completa de los atributos de certificado que se pueden consultar, consulta la tabla de atributos aquí.

    1) Certificado válido, verificado con anclas de confianza y firmado por el certificado raíz de la empresa: device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "v2yJUfpL6LkfUFmKVsPr0Czj+Z0LoJzLIk3j4ffJfSg").

    Reemplaza la cadena de huella digital raíz por la cadena que copiaste en el paso Verifica el certificado anterior.

    2) Certificado válido, verificado con anclas de confianza y emitido por una entidad emisora específica: device.certificates.exists(cert, cert.is_valid && cert.issuer =="CN=BeyondCorp Demo Device Issuer CA, OU=Enterprise Device Trust, O=BeyondCorp Enterprise, ST=New Jersey, C=US").

  7. Haz clic en Crear. Ahora puedes asignar este nivel de acceso a las apps.