Anwendungsfall: Unternehmenszertifikate erforderlich machen

Unterstützte Versionen für diese Funktion: Frontline Standard und Frontline Plus; Enterprise Standard und Enterprise Plus; Education Standard und Education Plus; Chrome Enterprise Premium. Versionen vergleichen

Unternehmenszertifikate tragen dazu bei, dass Nutzergeräte für den Zugriff auf Dienste und Daten in Ihrer Organisation vertrauenswürdig sind. In diesem Beispiel erstellen Sie eine kontextsensitive Zugriffsebene, die vorschreibt, dass Nutzergeräte ein vom Unternehmen ausgestelltes Unternehmenszertifikat haben müssen, um auf Apps zugreifen zu können.

Die Erweiterung „Endpunktprüfung“ meldet nur ein Unternehmenszertifikat an die Admin-Konsole.

Hinweis

Zertifikate

  • Wenn Ihr Unternehmen kein CA-Zertifikat und keine entsprechenden Clientzertifikate hat, können Sie diese über den Google Cloud Certificate Authority Service erstellen.
  • Clientzertifikate müssen die Clientauthentifizierung (1.3.6.1.5.5.7.3.2) unterstützen.
  • Unter Windows müssen Clientzertifikate im Zertifikatsspeicher des aktuellen Nutzers vorhanden sein. Zertifikate im Zertifikatsspeicher des lokalen Computers können nicht authentifiziert werden.

Zertifikatsvertrauensstellung konfigurieren

Wenn Sie das Unternehmenszertifikat des Geräts erfassen und validieren möchten, müssen Sie die Trust-Anchors hochladen, die zum Ausstellen des Gerätezertifikats verwendet wurden. Die Trust-Anchors sind das Zertifikat der Stammzertifizierungsstelle und die relevanten Zwischen- und untergeordneten Zertifikate. Gehen Sie so vor:

  1. Öffnen Sie in der Admin-Konsole das Menü  und dann Geräte und dann Netzwerke.

    Hierfür benötigen Sie die Administratorberechtigung Einstellungen für gemeinsam verwendete Geräte.

  2. Wählen Sie die entsprechende Organisationseinheit aus.
  3. Führen Sie einen der folgenden Schritte aus:
    • Wenn im Abschnitt Zertifikate keine Zertifikate vorhanden sind, klicken Sie auf Zertifikat hochladen.
    • Wenn Zertifikate vorhanden sind, klicken Sie auf den Bereich Zertifikate und dann auf Zertifikat hinzufügen.
  4. Geben Sie den Zertifikatsnamen ein und laden Sie das Zertifikat hoch.
  5. Klicken Sie auf das Kästchen Für Endpunktprüfung aktiviert.
  6. Klicken Sie auf Hinzufügen.

Chrome-Richtlinie konfigurieren

Damit die Endpunktprüfung das Gerätezertifikat suchen und über Chrome erfassen kann, müssen Sie die Chrome-Richtlinie „AutoSelectCertificateForURLs“ konfigurieren.

  1. Öffnen Sie in der Admin-Konsole Geräte und dann Chrome und dann Einstellungen und dann Nutzer- und Browsereinstellungen und dann Clientzertifikate.
  2. Wählen Sie die entsprechende Organisationseinheit oder Gruppe aus.

  3. Fügen Sie die Richtlinie AutoSelectCertificateForUrls mit der folgenden Syntax hinzu: {"pattern":"https://[*.]clients6.google.com","filter":{"ISSUER":{"CN":"CERTIFICATE_ISSUER_NAME"}}}

    Ersetzen Sie CERTIFICATE_ISSUER_NAME durch den gemeinsamen Namen der Zertifizierungsstelle des Ausstellers. Ändern Sie den Wert von pattern nicht.

    Während der Zertifikatserfassung und -validierung ermöglicht das Clientzertifikat die eigentliche mTLS-Verbindung zu den oben genannten clients6.google.com-Hosts.

Chrome-Richtlinienkonfiguration prüfen

  1. Rufen Sie im Browser „chrome://policy“ auf.
  2. Prüfen Sie, ob der konfigurierte Wert für „AutoSelectCertificateForUrls“ dem Wert entspricht, der oben in Schritt 3 unter Chrome-Richtlinie konfigurieren festgelegt wurde.
  3. Achten Sie darauf, dass der Wert für Gilt für auf Computer festgelegt ist. Unter ChromeOS wird der Wert auf Aktueller Nutzer* angewendet.

  4. Achten Sie darauf, dass der Status der Richtlinie nicht Konflikt lautet.

    Weitere Informationen zur Rangfolge von Richtlinien und zum Beheben von Richtlinienkonflikten finden Sie unter Informationen zur Chrome-Richtlinienverwaltung.

Clientzertifikatsammlung auf dem Gerät prüfen

  1. (Auf dem Endpunkt) Melden Sie sich an und starten Sie eine Synchronisierung mit der Google-Erweiterung „Endpunktprüfung“.

    In diesem Schritt wird das Clientzertifikat serverseitig anhand der oben in Zertifikatsvertrauensstellung konfigurieren hochgeladenen Trust-Anchors validiert.

  2. (Admin-Konsole) Gehen Sie zu Geräte und dann Mobilgeräte und Endpunkte und suchen Sie das Gerät.

  3. Prüfen Sie, ob das Zertifikat in den Einstellungen für die Endpunktprüfung angezeigt wird.

  4. Notieren Sie sich die Zertifikatsfelder wie „Stammzertifikat-Fingerabdruck“, „Ausstellerstring“ oder andere auf dieser Seite und verwenden Sie diese Werte, um unten in Kontextsensitiven Zugriff konfigurieren eine Zugriffsebene zu erstellen.

  5. Sie können die Protokolle der Endpunktprüfung verwenden, um Probleme zu beheben. So laden Sie die Logs herunter:

    1. Klicken Sie mit der rechten Maustaste auf die Erweiterung „Endpunktprüfung“ und rufen Sie die Optionen auf.
    2. Wählen Sie Log-Ebene und dann Alle und dann Logs herunterladen aus.
    3. Öffnen Sie eine Anfrage beim Google Workspace-Support und geben Sie die Protokolle zur weiteren Fehlerbehebung frei.

Kontextsensitive Zugriffsebene konfigurieren

  1. Öffnen Sie in der Admin-Konsole das Menü  und dann Sicherheit und dann Zugriffs- und Datenkontrolle und dann Kontextsensitiver Zugriff.

    Erfordert die Zugriffsebene „Datensicherheit“ mit Regelverwaltung sowie die Berechtigung für die Admin API „Gruppen“ mit Leseberechtigung für „Nutzer“.

  2. Klicken Sie auf Zugriffsebenen.
  3. Klicken Sie auf Zugriffsebene erstellen.
  4. Geben Sie einen Namen für die Zugriffsebene (z. B. „Unternehmenszertifikat erforderlich“) und optional eine Beschreibung ein.
  5. Klicken Sie auf den Tab Advanced (Erweitert). Auf diesem Tab erstellen Sie die benutzerdefinierte Zugriffsebene in einem Bearbeitungsfenster mit der Common Expression Language (CEL). Weitere Informationen finden Sie unter Kontextsensitive Zugriffsebenen erstellen, Zugriffsebenen definieren – Erweiterter Modus.

  6. Fügen Sie den CEL-Ausdruck für die Zugriffsebene hinzu.

    Mit der Zugriffsebene können verschiedene Attribute des Zertifikats getestet werden, z. B. der Fingerabdruck des Root-CA-Zertifikats (Beispiel 1) oder ob es sich um ein gültiges Zertifikat handelt, das von einem bestimmten Aussteller ausgestellt wurde (Beispiel 2). Eine vollständige Liste der Zertifikatsattribute, die abgefragt werden können, finden Sie hier in der Attributtabelle.

    1) Gültiges Zertifikat, das anhand von Trust-Anchors geprüft und vom Root-Zertifikat des Unternehmens signiert wurde: device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "v2yJUfpL6LkfUFmKVsPr0Czj+Z0LoJzLIk3j4ffJfSg").

    Ersetzen Sie den String für den Root-Fingerabdruck durch den String, den Sie im obigen Schritt Zertifikat prüfen kopiert haben.

    2) Gültiges Zertifikat, das anhand von Trust-Anchors geprüft und von einem bestimmten Aussteller ausgestellt wurde: device.certificates.exists(cert, cert.is_valid && cert.issuer =="CN=BeyondCorp Demo Device Issuer CA, OU=Enterprise Device Trust, O=BeyondCorp Enterprise, ST=New Jersey, C=US").

  7. Klicken Sie auf Erstellen. Sie können diese Zugriffsebene nun Apps zuweisen.