Mengonfigurasi kondisi sertifikat perusahaan

Prinsip utama Chrome Enterprise Premium adalah akses ke layanan diberikan berdasarkan informasi kontekstual tentang Anda dan perangkat Anda. Chrome Enterprise Premium secara dinamis menyimpulkan tingkat akses yang diberikan kepada satu pengguna atau perangkat dengan mengevaluasi beberapa sumber data, dan menggunakan tingkat kepercayaan ini sebagai bagian dari proses keputusannya.

Access Context Manager adalah mesin kebijakan zero-trust Chrome Enterprise Premium. Dengan Access Context Manager, Anda dapat menentukan kontrol akses berbasis atribut yang terperinci untuk aplikasi dan resource Google Cloud .

Gunakan tingkat akses untuk mengizinkan akses ke resource berdasarkan informasi kontekstual tentang permintaan. Dengan menggunakan tingkat akses, Anda dapat mulai mengatur tingkat kepercayaan. Misalnya, Anda dapat membuat tingkat akses bernama High_Level yang mengizinkan permintaan dari sekelompok kecil individu dengan hak istimewa tinggi. Anda juga dapat mengidentifikasi grup yang lebih umum untuk dipercaya, seperti rentang alamat IP yang ingin Anda izinkan permintaannya. Dalam hal ini, Anda dapat membuat tingkat akses bernama Medium_Level untuk mengizinkan permintaan tersebut.

Salah satu persyaratan utama untuk akses zero-trust adalah hanya mengizinkan akses jika perangkat dikelola atau dimiliki oleh perusahaan. Ada beberapa cara untuk menentukan apakah perangkat dimiliki perusahaan. Salah satu caranya adalah dengan menentukan apakah sertifikat yang valid, yang dikeluarkan oleh perusahaan, ada di perangkat. Sertifikat perusahaan di perangkat dapat menunjukkan bahwa perangkat tersebut milik perusahaan.

Sertifikat perusahaan untuk Akses Kontekstual adalah fitur dari solusi akses berbasis sertifikat Chrome Enterprise Premium secara keseluruhan. Fitur ini menggunakan sertifikat perangkat sebagai sinyal kontekstual alternatif untuk menentukan apakah perangkat merupakan aset milik perusahaan. Fitur ini didukung di browser Google Chrome versi 110 atau yang lebih baru.

Karena satu perangkat dapat memiliki lebih dari satu sertifikat, Anda dapat mengakses sertifikat perusahaan di tingkat akses kustom melalui makro .exists(e, p):

device.certificates.exists(cert, predicate)

Dalam contoh ini, cert adalah ID yang digunakan di predicate, yang terikat ke sertifikat perangkat. Makro exists() menggabungkan hasil predikat per elemen dengan operator "or" (||), yang berarti makro menampilkan true jika setidaknya satu sertifikat memenuhi ekspresi predicate.

Sertifikat memiliki atribut berikut yang dapat diperiksa bersama. Perhatikan bahwa perbandingan string peka huruf besar/kecil.

Atribut	Deskripsi	Contoh ekspresi predikat (dengan cert adalah ID makro)
is_valid	True jika sertifikat valid dan masa berlakunya belum habis (boolean). Memeriksa apakah masa berlaku sertifikat belum berakhir dan ditandatangani oleh anchor tepercaya. Perhatikan bahwa Verifikasi Endpoint tidak memeriksa pencabutan sertifikat.	cert.is_valid
cert_fingerprint	Sidik jari sertifikat (SHA256 tanpa padding base64). Sidik jari adalah digest SHA256 berenkode base64 tanpa padding, dalam format biner, dari sertifikat yang dienkode dengan DER. Anda dapat membuat string dari sertifikat dalam format PEM menggunakan prosedur berikut dengan OpenSSL: $ openssl x509 -in cert.pem -out cert.der -outform DER $ openssl dgst -sha256 -binary cert.der > digest.sha $ openssl base64 -in digest.sha | tr -d =	cert.cert_fingerprint == origin.clientCertFingerprint()
root_ca_fingerprint	Sidik jari Sertifikat CA Root yang digunakan untuk menandatangani sertifikat (SHA256 tanpa padding base64). Sidik jari adalah digest SHA256 berenkode base64 tanpa padding, dalam format biner, dari sertifikat yang dienkode dengan DER. Anda dapat membuat string dari sertifikat dalam format PEM menggunakan prosedur berikut dengan OpenSSL: $ openssl x509 -in cert.pem -out cert.der -outform DER $ openssl dgst -sha256 -binary cert.der > digest.sha $ openssl base64 -in digest.sha | tr -d =	cert.root_ca_fingerprint == "ROOT_CA_FINGERPRINT"
issuer	Nama penerbit (nama yang sepenuhnya diperluas). Untuk menemukan nama penerbit, Anda dapat menggunakan pendekatan berikut: Jalankan perintah berikut pada sertifikat: $ openssl x509 -in ca_1.crt -issuer issuer= /C=US/ST=CA/L=MTV/O=ExampleCorp/OU=ExampleUnit/CN=inter_1/emailAddress=[e-mail] Untuk mendapatkan string penerbit untuk tingkat akses, balikkan output dan ganti setiap garis miring (/) dengan koma (,): EMAILADDRESS=[e-mail], CN=inter_1, OU=ExampleUnit, O=ExampleCorp, L=MTV, ST=CA, C=US	cert.issuer == "EMAILADDRESS=[e-mail], CN=inter_1, OU=ExampleUnit, O=ExampleCorp, L=MTV, ST=CA, C=US"
subject	Nama subjek sertifikat (nama yang sepenuhnya diperluas).	cert.subject == "CA_SUB"
serial_number	Nomor seri sertifikat (string).	cert.serial_number == "SERIAL_NUMBER"
template_id	ID template Certificate Template ekstensi X.509 sertifikat (string).	cert.template_id == "TEMPLATE_ID"

Tabel berikut berisi contoh kebijakan yang dapat Anda tetapkan:

Contoh kebijakan	Ekspresi
Perangkat memiliki sertifikat valid yang ditandatangani oleh root certificate perusahaan.	device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "ROOT_CA_FINGERPRINT")
Perangkat memiliki sertifikat valid yang dikeluarkan oleh penerbit CA_ABC.	device.certificates.exists(cert, cert.is_valid && cert.issuer == "EMAILADDRESS=[e-mail], CN=inter_1, OU=ExampleUnit, O=ExampleCorp, L=MTV, ST=CA, C=US")

Penting: Verifikasi Endpoint melaporkan satu sertifikat perangkat perusahaan ke konsol Google Admin, meskipun ada beberapa sertifikat di perangkat. Artinya, terlepas dari jumlah sertifikat perusahaan yang dimiliki perangkat Anda, konsol Admin hanya menampilkan satu sertifikat.

Mengonfigurasi sertifikat perusahaan

Sebelum mengonfigurasi sertifikat perusahaan, pastikan Anda telah mengonfigurasi tingkat akses kustom. Untuk mengetahui petunjuknya, lihat Membuat tingkat akses kustom.

Anda dapat menggunakan definisi tingkat akses kustom Access Context Manager untuk menetapkan kebijakan yang sesuai. Tingkat akses kustom menggunakan ekspresi boolean yang ditulis dalam subset Common Expression Language (CEL) untuk menguji atribut klien yang membuat permintaan.

Penting: Untuk perangkat Windows, instal sertifikat klien di penyimpanan sertifikat pengguna, bukan di penyimpanan sertifikat komputer. Jika sertifikat klien diinstal di penyimpanan sertifikat komputer, pengguna yang diautentikasi harus dapat membaca, tetapi tidak dapat mengekspor penampung kunci pribadinya untuk penandatanganan mTLS.

Mengupload trust anchor di konsol Admin

Agar Chrome Enterprise Premium dapat mengumpulkan dan memvalidasi sertifikat perusahaan perangkat, Anda harus mengupload trust anchor dan sertifikat perantara apa pun yang digunakan untuk menerbitkan sertifikat perangkat. Trust anchor adalah sertifikat root CA (Certificate Authority) yang ditandatangani sendiri dan sertifikat perantara dan bawahan yang relevan. Selesaikan langkah-langkah berikut untuk mengupload trust anchor:

1. Buka konsol Admin dan buka Perangkat > Jaringan > Sertifikat.
2. Pilih unit organisasi yang sesuai.
3. Pilih Tambahkan Sertifikat.
4. Masukkan nama sertifikat.
5. Upload sertifikat.
6. Centang kotak Endpoint Verification.
7. Klik Tambahkan.
8. Pastikan pengguna berada di unit organisasi tempat Anda mengupload trust anchor.

Mengonfigurasi kebijakan AutoSelectCertificateForUrls

Agar Verifikasi Endpoint dapat menelusuri sertifikat perangkat dan mengumpulkannya di Chrome, Anda harus mengonfigurasi kebijakan AutoSelectCertificateForUrls dengan menyelesaikan langkah-langkah berikut:

1. Pastikan browser Chrome dikelola oleh Pengelolaan Cloud Browser Chrome.

   • Untuk Windows, macOS, dan Linux, siapkan browser Chrome yang dikelola cloud menggunakan Chrome Enterprise Core. Untuk mengetahui petunjuknya, lihat Mendaftar ke Chrome Enterprise Core.
   • Daftarkan perangkat Anda agar organisasi Anda dapat mengelola perangkat tersebut secara terpusat. Untuk mengetahui petunjuknya, lihat Mendaftarkan browser Chrome yang dikelola cloud.

2. Di konsol Admin, tambahkan kebijakan AutoSelectCertificateForUrls:

   1. Buka konsol Admin dan buka Perangkat > Chrome > Setelan > Setelan Pengguna & Browser > Sertifikat klien.
   2. Pilih unit organisasi yang sesuai.

   3. Tambahkan kebijakan AutoSelectCertificateForUrls, berdasarkan contoh berikut:

      {"pattern":"https://[*.]clients6.google.com","filter":{"ISSUER":{"CN":"CERTIFICATE_ISSUER_NAME"}}}
      

      Ganti CERTIFICATE_ISSUER_NAME dengan nama umum CA penerbit. Jangan ubah nilai pattern.

Catatan: Pastikan filter merujuk ke sertifikat penerbit yang Anda upload pada langkah sebelumnya.

Untuk memverifikasi konfigurasi kebijakan, selesaikan langkah-langkah berikut:

1. Buka chrome://policy di browser.
2. Verifikasi nilai yang dikonfigurasi untuk AutoSelectCertificateForUrls.
3. Pastikan nilai Berlaku untuk kebijakan ditetapkan ke Perangkat. Di ChromeOS, nilai berlaku untuk Pengguna Saat Ini.
4. Pastikan Status untuk kebijakan tidak memiliki Konflik.

Langkah berikutnya

• Memecahkan masalah kondisi sertifikat perusahaan