Use case: zakelijke certificaten vereisen

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus en Chrome Enterprise Premium. Versies vergelijken

Met zakelijke certificaten zorgt u dat gebruikersapparaten worden vertrouwd voor toegang tot services en gegevens in uw organisatie. In dit voorbeeld maakt u een niveau voor contextbewuste toegang dat vereist dat gebruikersapparaten een door het bedrijf uitgegeven zakelijk certificaat hebben om toegang te krijgen tot apps.

De extensie Eindpuntverificatie meldt maar één zakelijk certificaat aan de Google Beheerdersconsole.

Voordat u begint

Over certificaten

  • Als uw bedrijf geen CA-certificaat en bijbehorende clientcertificaten heeft, kunt u deze maken via de Google Cloud Certificate Authority Service.
  • Clientcertificaten moeten clientverificatie ondersteunen (1.3.6.1.5.5.7.3.2).
  • In Windows moeten clientcertificaten aanwezig zijn in de certificaatopslag van de huidige gebruiker. Certificaten in de certificaatopslag van het lokale apparaat kunnen niet worden geverifieerd.

Certificaatvertrouwen instellen

Als u het zakelijke apparaatcertificaat wilt ophalen en valideren, uploadt u de vertrouwensankers die zijn gebruikt om het apparaatcertificaat uit te geven. De vertrouwensankers zijn het root-CA-certificaat (certificeringsinstantie) en de relevante tussen- en onderliggende certificaten. Volg deze stappen:

  1. Ga in de Google Beheerdersconsole naar Menu en dan Apparaten en dan Netwerken.

    Hiervoor is het beheerdersrecht Instellingen voor gedeelde apparaten vereist.

  2. Selecteer de juiste organisatie-eenheid.
  3. Voer een van de volgende acties uit:
    • Als er geen certificaten in het gedeelte Certificaten staan, klikt u op Certificaat uploaden.
    • Als er certificaten zijn, klikt u op het gedeelte Certificaten en dan op Certificaat toevoegen.
  4. Voer de certificaatnaam in en upload het certificaat.
  5. Vink het selectievakje Aangezet voor eindpuntverificatie aan.
  6. Klik op Toevoegen.

Chrome-beleid instellen

Als u wilt dat Eindpuntverificatie het apparaatcertificaat zoekt en ophaalt via Chrome, moet u het Chrome-beleid AutoSelectCertificateForUrls instellen.

  1. Ga in de Beheerdersconsole naar Apparaten en dan Chrome en dan Instellingen en dan Instellingen voor gebruikers en browsers en dan Clientcertificaten.
  2. Selecteer de juiste organisatie-eenheid of groep.

  3. Voeg het beleid AutoSelectCertificateForUrls toe met deze syntaxis: {"pattern":"https://[*.]clients6.google.com","filter":{"ISSUER":{"CN":"CERTIFICATE_ISSUER_NAME"}}}

    Vervang CERTIFICATE_ISSUER_NAME door de algemene naam van de CA die het certificaat verleent. Wijzig de waarde van pattern niet.

    Tijdens het proces voor het ophalen en valideren van het certificaat maakt het clientcertificaat de daadwerkelijke mTLS-verbinding met de bovenstaande clients6.google.com-hosts mogelijk.

De instelling van Chrome-beleid controleren

  1. Ga in de browser naar chrome://policy.
  2. Controleer of de ingestelde waarde voor AutoSelectCertificateForUrls overeenkomt met de waarde die u in stap 3 heeft ingesteld in Chrome-beleid instellen hierboven.
  3. Zorg dat de waarde van het beleid Geldt voor is ingesteld op Apparaat. In het Chrome-besturingssysteem wordt de waarde toegepast op de huidige gebruiker*.

  4. Zorg dat de Status van het beleid niet Conflict is.

    Ga naar Meer informatie over Chrome-beleidsbeheer voor meer informatie over beleidsprioriteit en hoe u beleidsconflicten oplost.

Verzameling van clientcertificaten op apparaat verifiëren

  1. (Op het eindpunt) Log in en start een synchronisatie met de Eindpuntverificatie-extensie van Google.

    Tijdens deze stap wordt het clientcertificaat aan de serverzijde gevalideerd aan de hand van de vertrouwensankers die u hierboven heeft geüpload in Certificaatvertrouwen instellen.

  2. (Beheerdersconsole) Ga naar Apparaten en dan Mobiel en eindpunten en zoek het apparaat.

  3. Ga na of het certificaat in de instellingen voor eindpuntverificatie staat.

  4. Let op de certificaatvelden, zoals de vingerafdruk van de root-CA, de tekenreeks van de uitgever of andere op deze pagina, en gebruik deze waarden om een toegangsniveau te maken in Contextbewust toegangsniveau instellen hieronder.

  5. U kunt de eindpuntverificatielogboeken gebruiken om eventuele problemen op te lossen. Zo downloadt u de logboeken:

    1. Klik met de rechtermuisknop op de Endpoint Verification-extensie en ga naar Opties.
    2. Selecteer Logboekniveau en dan Alle en dan Logboeken downloaden.
    3. Open een case bij Google Workspace-support en deel de logboeken voor verdere foutopsporing.

Niveau van contextbewuste toegang instellen

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Toegangs- en gegevensbeheer en dan Contextbewuste toegang.

    Hiervoor zijn de rechten Gegevensbeveiliging 'Toegangsniveaus beheren' en 'Regelbeheer' en de Admin API-rechten 'Groepen' en 'Gebruikers' (lezen) vereist.

  2. Selecteer Toegangsniveaus.
  3. Klik op Toegangsniveau maken.
  4. Voeg een naam toe voor het toegangsniveau (bijvoorbeeld Zakelijke certificering vereisen) en eventueel een beschrijving.
  5. Klik op het tabblad Advanced (Geavanceerd). Op dit tabblad maakt u een aangepast toegangsniveau in een bewerkingsvenster met Common Expression Language (CEL). Ga naar Contextbewuste toegangsniveaus maken, Toegangsniveaus instellen en dan Geavanceerde modus voor meer informatie.

  6. Voeg de CEL-expressie voor het toegangsniveau toe.

    Het toegangsniveau kan verschillende kenmerken van het certificaat testen, zoals de vingerafdruk van het root-CA-certificaat verifiëren (voorbeeld 1), of controleren of het certificaat geldig is en is uitgegeven door een specifieke instantie (voorbeeld 2). Bekijk hier de kenmerkentabel voor een volledige lijst met certificaatkenmerken die kunnen worden getest.

    1) Geldig certificaat, geverifieerd aan de hand van vertrouwensankers en ondertekend door het rootcertificaat van het bedrijf: device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "v2yJUfpL6LkfUFmKVsPr0Czj+Z0LoJzLIk3j4ffJfSg").

    Vervang de vingerafdruk van de root-CA door de tekenreeks die u in de stap Certificaat verifiëren hierboven heeft gekopieerd.

    2) Geldig certificaat, geverifieerd aan de hand van vertrouwensankers en uitgegeven door een specifieke uitgever: device.certificates.exists(cert, cert.is_valid && cert.issuer =="CN=BeyondCorp Demo Device Issuer CA, OU=Enterprise Device Trust, O=BeyondCorp Enterprise, ST=New Jersey, C=US").

  7. Klik op Maken. U kunt dit toegangsniveau nu toewijzen aan apps.