ユースケース: エンタープライズ証明書を必須にする

この機能に対応しているエディション: Frontline Standard、Frontline Plus、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Chrome Enterprise Premium

エンタープライズ証明書を使用すると、ユーザーのデバイスで組織内のサービスとデータにアクセスする際に、そのデバイスが信頼できるものであることを確認できます。この例では、アプリにアクセスするために会社発行のエンタープライズ証明書がユーザーのデバイスに必須となるコンテキストアウェアアクセスレベルを作成します。

Endpoint Verification 拡張機能では、Google 管理コンソールに 1 つのエンタープライズ証明書しか報告されません。

始める前に

ユーザーのデバイスが Chrome Enterprise Core または他のデバイス管理ソリューションによって管理されていることを確認してください。
ユーザーのデバイスに Endpoint Verification 拡張機能がインストールされている必要があります。詳しくは、デバイスに Endpoint Verification をインストールする方法をご覧ください。
（Windows を使用している場合）Chrome データのセキュリティを強化するには、アプリバウンド暗号化で Google Chrome Elevation Service が有効になっていることを確認してください。

証明書について

CA 証明書と対応するクライアント証明書が会社にない場合は、Google Cloud Certificate Authority Service で作成できます。
クライアント証明書は、クライアント認証（1.3.6.1.5.5.7.3.2）をサポートしている必要があります。
Windows では、クライアント証明書が現在のユーザーの証明書ストアに存在する必要があります。ローカルコンピュータの証明書ストアにある証明書は認証できません。

証明書の信頼を構成する

デバイスのエンタープライズ証明書を収集して検証するには、デバイス証明書の発行に使用されたトラストアンカーをアップロードする必要があります。トラストアンカーとは、ルート CA（認証局）証明書と、それに関連する中間証明書や下位証明書のことを指します。手順は次のとおりです。

Google 管理コンソールで、メニューアイコン [**デバイス**][**ネットワーク**] の順に移動します。

[ネットワーク] に移動

アクセスするには、共有デバイスの設定の管理者権限が必要です。
適切な組織部門を選択します。
次のいずれかを行います。
- [**証明書**] セクションに証明書がない場合は、[**証明書をアップロード**] をクリックします。
- 証明書がある場合は、[証明書] セクションをクリックし、[証明書を追加] をクリックします。
証明書の名前を入力し、証明書をアップロードします。
[エンドポイントの確認] でチェックボックスをオンにして有効にます。
[Add] をクリックします。

Chrome ポリシーを構成する

Endpoint Verification 拡張機能が Chrome でデバイス証明書を検索して収集するには、AutoSelectCertificateForURLs Chrome ポリシーを設定する必要があります。

管理コンソールで、[デバイス][Chrome][設定][ユーザーとブラウザの設定][クライアント証明書] の順に選択します。
対象の組織部門またはグループを選択します。
次の構文を使用して、AutoSelectCertificateForUrls ポリシーを追加します。{"pattern":"https://[&ast;.]clients6.google.com","filter":{"ISSUER":{"CN":"CERTIFICATE_ISSUER_NAME"}}}

CERTIFICATE_ISSUER_NAME は、発行者 CA のコモンネームに置き換えます。pattern の値は変更しないでください。

証明書の収集と検証のプロセスでは、クライアント証明書によって、上記の clients6.google.com のホストに実際に mTLS で接続できるようになります。

Chrome ポリシー構成を確認する

ブラウザで chrome://policy を開きます。
AutoSelectCertificateForUrls に設定された値が、上記の Chrome ポリシーを構成するの手順 3 で設定した値であることを確認します。
ポリシー [**対象**] の値が [**マシン**] に設定されていることを確認します。Chrome オペレーティングシステムの場合、対象の値は [現在のユーザー]&ast; に適用されます。
ポリシーのステータス に競合がないことを確認します。

ポリシーの優先度とポリシーの競合を解決する方法について詳しくは、Chrome ポリシー管理の概要をご覧ください。

デバイスでのクライアント証明書の収集を確認する

（エンドポイントで）ログインし、同期を開始するには、Google の Endpoint Verification 拡張機能を使用します。

このステップでは、クライアント証明書は、上記の証明書の信頼を構成するでアップロードされたトラストアンカーに照らしてサーバーサイドで検証されます。
（管理コンソール）[デバイス][モバイルとエンドポイント] に移動し、デバイスを見つけます。
証明書が Endpoint Verification の設定に表示されていることを確認します。
このページにある、ルート CA 証明書のフィンガープリント、発行元文字列などの証明書のフィールドをメモし、これらの値を使用して、以下のコンテキストアウェアアクセスレベルを構成するでアクセスレベルを作成します。
Endpoint Verification ログは、問題のトラブルシューティングに役立ちます。ログをダウンロードする手順は次のとおりです。
1. Endpoint Verification 拡張機能を右クリックし、[オプション] に移動します。
2. [Log level][All][Download Logs] を選択します。
3. Google Workspace サポートにケースを登録し、さらなるデバッグのためにログを共有します。

コンテキストアウェアアクセスのレベルを構成する

Google 管理コンソールで、メニューアイコン [**セキュリティ**][**アクセスとデータ管理**][**コンテキストアウェアアクセス**] にアクセスします。

[コンテキストアウェアアクセス] に移動

データセキュリティのアクセスレベルの管理権限とルールの管理権限、管理 API グループの読み取り権限とユーザーの読み取り権限が必要です。
[**アクセスレベル**] を選択します。
[アクセスレベルを作成] をクリックします。
アクセスレベルの名前（「エンタープライズ証明書を必須にする」など）と説明（省略可）を追加します。
[**Advanced**] タブをクリックします。このタブでは、Common Expressions Language（CEL）を使用して、編集ウィンドウでカスタムアクセスレベルを作成します。詳しくは、[コンテキストアウェアアクセスレベルを作成する]の [アクセスレベルを定義する] - [詳細モード] をご覧ください。
アクセスレベルの CEL 式を追加します。

アクセスレベルでは、ルート CA 証明書のフィンガープリントの検証（例 1）や、特定の発行元によって発行された有効な証明書であるかどうかの確認（例 2）など、証明書のさまざまな属性をテストできます。クエリできる証明書属性の完全なリストについては、こちらの属性表をご覧ください。

1）トラストアンカーと照合され、会社のルート証明書で署名された有効な証明書: device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "v2yJUfpL6LkfUFmKVsPr0Czj+Z0LoJzLIk3j4ffJfSg")。

ルート証明書のフィンガープリントの文字列は、上記の証明書の確認の手順でコピーした文字列に置き換えます。

2）トラストアンカーと照合され、特定の発行元によって発行された有効な証明書: device.certificates.exists(cert, cert.is_valid && cert.issuer =="CN=BeyondCorp Demo Device Issuer CA, OU=Enterprise Device Trust, O=BeyondCorp Enterprise, ST=New Jersey, C=US")。
[Create] をクリックします。以上で、このアクセスレベルをアプリに割り当てられるようになります。

ユースケース: エンタープライズ証明書を必須にする コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。