Configurare le condizioni dei certificati aziendali

Un principio chiave di Chrome Enterprise Premium è che l'accesso ai servizi viene concesso in base alle informazioni contestuali su di te e sul tuo dispositivo. Chrome Enterprise Premium deduce dinamicamente il livello di accesso concesso a un singolo utente o dispositivo valutando più origini dati e utilizza questo livello di attendibilità come parte del suo processo decisionale.

Gestore contesto accesso è il motore delle policy Zero Trust di Chrome Enterprise Premium. Gestore contesto accesso consente di definire un controllo dell'accesso granulare e basato sugli attributi per applicazioni e risorse Google Cloud .

Utilizza i livelli di accesso per consentire l'accesso alle risorse in base alle informazioni contestuali sulla richiesta. Utilizzando i livelli di accesso, puoi iniziare a organizzare i livelli di attendibilità. Ad esempio, potresti creare un livello di accesso denominato High_Level che consente le richieste di un piccolo gruppo di persone con privilegi elevati. Potresti anche identificare un gruppo più generale da considerare attendibile, ad esempio un intervallo di indirizzi IP da cui vuoi consentire le richieste. In questo caso, puoi creare un livello di accesso denominato Medium_Level per consentire queste richieste.

Uno dei requisiti chiave per l'accesso Zero Trust è consentire l'accesso solo quando il dispositivo è gestito o è di proprietà dell'azienda. Esistono diversi modi per stabilire se un dispositivo è di proprietà dell'azienda. Un modo è determinare se sul dispositivo è presente un certificato valido emesso dall'azienda. Un certificato aziendale su un dispositivo può indicare che è di proprietà dell'azienda.

I certificati aziendali per l'accesso sensibile al contesto sono una funzionalità della soluzione di accesso basato su certificati di Chrome Enterprise Premium. Questa funzionalità utilizza i certificati dei dispositivi come indicatore alternativo sensibile al contesto per determinare se un dispositivo è una risorsa di proprietà dell'azienda. Questa funzionalità è supportata sul browser Google Chrome versione 110 o successive.

Poiché un dispositivo può avere più di un certificato, puoi accedere ai certificati aziendali nel livello di accesso personalizzato tramite la macro .exists(e, p):

device.certificates.exists(cert, predicate)

Nell'esempio, cert è un identificatore utilizzato in predicate, che si associa al certificato del dispositivo. La macro exists() combina i risultati del predicato per ciascun elemento con l'operatore "or" (||), il che significa che le macro restituiscono true se almeno un certificato soddisfa l'espressione predicate.

Il certificato ha i seguenti attributi che possono essere controllati insieme. Tieni presente che i confronti delle stringhe sono sensibili alle maiuscole.

Attributo	Descrizione	Esempio di espressione del predicato (dove cert è un identificatore di macro)
is_valid	True se il certificato è valido e non è scaduto (booleano). Controlla se il certificato non è scaduto ed è firmato da un trust anchor attendibile. Tieni presente che Verifica degli endpoint non controlla la revoca dei certificati.	cert.is_valid
cert_fingerprint	Impronta del certificato (SHA256 base64 senza padding). L'impronta è il digest SHA256 con codifica base64 senza padding, in formato binario, del certificato con codifica DER. Puoi generare la stringa dal certificato in formato PEM utilizzando la procedura seguente con OpenSSL: $ openssl x509 -in cert.pem -out cert.der -outform DER $ openssl dgst -sha256 -binary cert.der > digest.sha $ openssl base64 -in digest.sha | tr -d =	cert.cert_fingerprint == origin.clientCertFingerprint()
root_ca_fingerprint	Impronta del certificato CA radice utilizzato per firmare il certificato (SHA256 base64 senza padding). L'impronta è il digest SHA256 (in formato binario) con codifica base64 senza padding del certificato con codifica in DER. Puoi generare la stringa dal certificato in formato PEM utilizzando la procedura seguente con OpenSSL: $ openssl x509 -in cert.pem -out cert.der -outform DER $ openssl dgst -sha256 -binary cert.der > digest.sha $ openssl base64 -in digest.sha | tr -d =	cert.root_ca_fingerprint == "ROOT_CA_FINGERPRINT"
issuer	Nome dell'autorità di certificazione (nomi completamente espansi). Per trovare il nome dell'autorità di certificazione, puoi utilizzare il seguente approccio: Esegui questo comando sul certificato: $ openssl x509 -in ca_1.crt -issuer issuer= /C=US/ST=CA/L=MTV/O=ExampleCorp/OU=ExampleUnit/CN=inter_1/emailAddress=[e-mail] Per ottenere la stringa dell'autorità di certificazione per il livello di accesso, inverti l'output e sostituisci ogni barra (/) con una virgola (,): EMAILADDRESS=[e-mail], CN=inter_1, OU=ExampleUnit, O=ExampleCorp, L=MTV, ST=CA, C=US	cert.issuer == "EMAILADDRESS=[e-mail], CN=inter_1, OU=ExampleUnit, O=ExampleCorp, L=MTV, ST=CA, C=US"
subject	Nome del soggetto del certificato (nomi completamente espansi).	cert.subject == "CA_SUB"
serial_number	Numero di serie del certificato (stringa).	cert.serial_number == "SERIAL_NUMBER"
template_id	ID modello dell'estensione X.509 CertificateTemplate del certificato (stringa).	cert.template_id == "TEMPLATE_ID"

La tabella seguente contiene esempi di policy che puoi impostare:

Esempio di policy	Espressione
Il dispositivo ha un certificato valido firmato dal certificato radice aziendale.	device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "ROOT_CA_FINGERPRINT")
Il dispositivo ha un certificato valido emesso dall'emittente CA_ABC.	device.certificates.exists(cert, cert.is_valid && cert.issuer == "EMAILADDRESS=[e-mail], CN=inter_1, OU=ExampleUnit, O=ExampleCorp, L=MTV, ST=CA, C=US")

Importante: Verifica degli endpoint segnala un singolo certificato del dispositivo aziendale alla Console di amministrazione Google, anche se su un dispositivo sono presenti più certificati. Ciò significa che, indipendentemente dal numero di certificati aziendali presenti sul dispositivo, la Console di amministrazione ne visualizza solo uno.

Configura i certificati aziendali

Prima di configurare i certificati aziendali, assicurati di aver configurato i livelli di accesso personalizzati. Per le istruzioni, consulta la guida alla creazione di un livello di accesso personalizzato.

Puoi utilizzare una definizione del livello di accesso personalizzato di Gestore contesto accesso per impostare le policy appropriate. I livelli di accesso personalizzati utilizzano espressioni booleane scritte in un sottoinsieme di Common Expression Language (CEL) per testare gli attributi di un client che effettua una richiesta.

Importante: per i dispositivi Windows, installa il certificato client nell'archivio certificati dell'utente, non nell'archivio certificati del computer. Se il certificato client è installato nell'archivio dei certificati del computer, gli utenti autenticati devono essere in grado di leggere, ma non di esportare, il relativo container della chiave privata per la firma mTLS.

Carica i trust anchor nella Console di amministrazione

Affinché Chrome Enterprise Premium possa raccogliere e convalidare il certificato aziendale del dispositivo, devi caricare i trust anchor e gli eventuali certificati intermedi utilizzati per emettere il certificato del dispositivo. I trust anchor sono il certificato dell'autorità di certificazione (CA) radice autofirmato e i certificati intermedi e subordinati pertinenti. Completa i seguenti passaggi per caricare i trust anchor:

1. Vai alla Console di amministrazione e vai a Dispositivi > Reti > Certificati.
2. Seleziona l'unità organizzativa appropriata.
3. Seleziona Aggiungi certificato.
4. Inserisci il nome del certificato.
5. Carica il certificato.
6. Seleziona la casella di controllo Verifica degli endpoint.
7. Fai clic su Aggiungi.
8. Assicurati che gli utenti appartengano all'unità organizzativa per cui hai caricato i trust anchor.

Configura una policy AutoSelectCertificateForUrls

Affinché Verifica degli endpoint possa cercare il certificato del dispositivo e raccoglierlo tramite Chrome, devi configurare la policy AutoSelectCertificateForUrls completando i seguenti passaggi:

1. Assicurati che il browser Chrome sia gestito da Chrome Browser Cloud Management.

   • Per Windows, macOS e Linux, configura il browser Chrome gestito nel cloud utilizzando Chrome Enterprise Core. Per istruzioni, vedi Registrati a Chrome Enterprise Core.
   • Registra il tuo dispositivo per consentire alla tua organizzazione di gestirlo a livello centrale. Per istruzioni, consulta Registra i browser Chrome gestiti su cloud.

2. Nella Console di amministrazione, aggiungi la policy AutoSelectCertificateForUrls:

   1. Vai alla Console di amministrazione e vai a Dispositivi > Chrome > Impostazioni > Impostazioni utente e browser > Certificati client.
   2. Seleziona l'unità organizzativa appropriata.

   3. Aggiungi una policy AutoSelectCertificateForUrls, in base al seguente esempio:

      {"pattern":"https://[*.]clients6.google.com","filter":{"ISSUER":{"CN":"CERTIFICATE_ISSUER_NAME"}}}
      

      Sostituisci CERTIFICATE_ISSUER_NAME con il nome comune della CA dell'emittente. Non modificare il valore di pattern.

Nota: assicurati che il filtro faccia riferimento al certificato dell'emittente che hai caricato nei passaggi precedenti.

Per verificare la configurazione della policy, completa i seguenti passaggi:

1. Vai a chrome://policy nel browser.
2. Verifica il valore configurato per AutoSelectCertificateForUrls.
3. Assicurati che il valore della policy Si applica a sia impostato su Computer. Su ChromeOS, il valore viene applicato a Utente corrente.
4. Assicurati che lo Stato della policy non sia Conflitto.

Passaggi successivi

• Risolvi i problemi relativi alle condizioni dei certificati aziendali