Användningsfall: Kräv företagscertifikat

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus, Enterprise Standard och Enterprise Plus, Education Standard och Education Plus, Chrome Enterprise Premium. Jämför utgåvor

Företagscertifikat hjälper till att säkerställa att användarenheter är betrodda att få åtkomst till tjänster och data i organisationen. I det här exemplet skapar du en kontextkänslig åtkomstnivå som kräver att användarenheter har ett företagsutfärdat företagscertifikat för att få åtkomst till appar.

Tillägget för ändpunktsverifiering rapporterar endast ett företagscertifikat till Googles administratörskonsol.

Innan du börjar

Om certifikat

  • Om företaget inte har ett CA-certifikat och motsvarande klientcertifikat kan du skapa dem via Google Cloud Certificate Authority Service.
  • Klientcertifikat måste ha stöd för klientautentisering (1.3.6.1.5.5.7.3.2).
  • I Windows måste klientcertifikat finnas i certifikatarkivet för den aktuella användaren. Certifikat i certifikatarkivet för den lokala datorn kan inte autentiseras.

Konfigurera certifikatförtroende

Om du vill samla in och validera enhetens företagscertifikat måste du ladda upp de förtroendeankare som används för att utfärda enhetscertifikatet. Förtroendeankarna är rotcertifikatet från certifikatutfärdaren och relevanta mellanliggande och underordnade certifikat. Gör så här:

  1. I Googles administratörskonsol går du till menyn följt av Enheter följt av Nätverk.

    Administratörsbehörigheten Delade enhetsinställningar krävs.

  2. Välj organisationsenhet.
  3. Gör något av följande:
    • Om det inte finns några certifikat i avsnittet Certifikat klickar du på Ladda upp certifikat.
    • Om det finns certifikat klickar du på avsnittet Certifikat och sedan på Lägg till certifikat.
  4. Ange certifikatnamnet och ladda upp certifikatet.
  5. Markera kryssrutan Aktiverat för ändpunktsverifiering.
  6. Klicka på Lägg till.

Konfigurera Chrome-policy

Om du vill att ändpunktsverifiering ska söka efter enhetscertifikatet och samla in det via Chrome måste du konfigurera Chrome-policyn AutoSelectCertificateForURLs.

  1. I administratörskonsolen går du till Enheter följt av Chrome följt av Inställningar följt av Användar- och webbläsarinställningar följt av Klientcertifikat.
  2. Välj organisationsenhet eller grupp.

  3. Lägg till policyn AutoSelectCertificateForUrls med följande syntax: {"pattern":"https://[*.]clients6.google.com","filter":{"ISSUER":{"CN":"CERTIFICATE_ISSUER_NAME"}}}

    Ersätt CERTIFICATE_ISSUER_NAME med det vanliga namnet på utfärdarens certifikatutfärdare. Ändra inte värdet på pattern.

    Under certifikatinsamlingen och valideringsprocessen möjliggör klientcertifikatet den faktiska mTLS-anslutningen till ovanstående clients6.google.com-värdar.

Verifiera konfigurationen av Chrome-policyer

  1. Navigera till chrome://policy i webbläsaren.
  2. Verifiera att det konfigurerade värdet för AutoSelectCertificateForUrls är det värde som anges i steg 3 i Konfigurera Chrome-policyn ovan.
  3. Kontrollera att policyns värde för Gäller för är inställt på Dator. I operativsystemet Chrome tillämpas värdet på Nuvarande användare*.

  4. Kontrollera att Status för policyn inte har en Konflikt.

    Mer information om tillämpningsordning för policy och lösning av policykonflikter finns i Så här fungerar Chrome-policyhanteringen.

Verifiera samling av klientcertifikat på enheten

  1. (På ändpunkten) Logga in och starta en synkronisering med Googles tillägg för ändpunktsverifiering.

    Under det här steget valideras klientcertifikatet på serversidan mot de förtroendeankare som laddades upp i Konfigurera certifikatförtroende ovan.

  2. (Administratörskonsol) Gå till Enheter följt av Mobil och ändpunkter och leta reda på enheten.

  3. Kontrollera att certifikatet visas i inställningarna för verifiering av ändpunkt.

  4. Notera certifikatfält som rotcertifikatutfärdarens fingeravtryck, utfärdarsträng eller andra på den här sidan och använd dessa värden för att skapa en åtkomstnivå i Konfigurera kontextkänslig åtkomstnivå nedan.

  5. Du kan använda loggarna för ändpunktsverifiering för att felsöka eventuella problem. Så här laddar du ned loggarna:

    1. Högerklicka på tillägget Ändpunktsverifiering och gå sedan till Alternativ.
    2. Välj Loggnivå följt av Alla följt av Ladda ned loggar.
    3. Öppna ett ärende med support för Google Workspace och dela loggarna för ytterligare felsökning.

Konfigurera en kontextkänslig åtkomstnivå

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Åtkomst- och datakontroll följt av Kontextkänslig åtkomst.

    Kräver behörighet för hantering av åtkomstnivå datasäkerhet och regelhantering och läsbehörighet för Admin API-grupper och användare.

  2. Välj Åtkomstnivåer.
  3. Klicka på Skapa åtkomstnivå.
  4. Lägg till ett namn på åtkomstnivån (till exempel Kräv företagscertifikat) och en valfri beskrivning.
  5. Klicka på fliken Avancerat. På den här fliken skapar du den anpassade åtkomstnivån i ett redigeringsfönster med hjälp av CEL (Common Expressions Language). Gå till Skapa kontextkänsliga åtkomstnivåer, Definiera åtkomstnivåer – avancerat läge för mer information.

  6. Lägg till CEL-uttrycket för åtkomstnivån.

    Åtkomstnivån kan testa olika attribut för certifikatet, till exempel verifiera fingeravtrycket för rotcertifikatutfärdarens certifikat (exempel 1) eller kontrollera om det är ett giltigt certifikat som utfärdats av en specifik utfärdare (exempel 2). En fullständig lista över certifikatattribut som kan sökas finns i attributtabellen här.

    1) Giltigt certifikat, verifierat mot förtroendeankare och signerat av företagets rotcertifikat: device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "v2yJUfpL6LkfUFmKVsPr0Czj+Z0LoJzLIk3j4ffJfSg").

    Ersätt rotfingeravtryckssträngen med strängen du kopierade i steget Verifiera certifikat ovan.

    2) Giltigt certifikat, verifierat mot förtroendeankare och utfärdat av en specifik utfärdare: device.certificates.exists(cert, cert.is_valid && cert.issuer =="CN=BeyondCorp Demo Device Issuer CA, OU=Enterprise Device Trust, O=BeyondCorp Enterprise, ST=New Jersey, C=US").

  7. Klicka på Skapa. Nu kan du tilldela denna åtkomstnivå till appar.