Zertifikatbasierten Zugriff für Webanwendungen aktivieren

1. Methode

Verwenden Sie ein von Google ausgestelltes Zertifikat, um eine Vertrauenskonfiguration zu erstellen.

1. Führen Sie die Schritte aus, um eine Stamm-Zertifizierungsstelle zu erstellen.

2. Rufen Sie den Inhalt der PEM-Datei ab:

   gcloud privateca roots describe ROOT_CA_ID \
       --pool=POOL_ID \
       --location=CA_LOCATION \
       --format='value(pemCaCertificates)'
   

   Ersetzen Sie Folgendes:

   • ROOT_CA_ID: Die ID des Root-Zertifikats.
   • POOL_ID: Die Pool-ID des Root-Zertifikats .
   • CA_LOCATION: Der Standort der CA.

3. Rufen Sie das Root-Zertifikat ab, das im Feld pemCaCertificates zurückgegeben wird. Das Zertifikat ist der String zwischen den BEGIN CERTIFICATE und END CERTIFICATE Markierungen und enthält beide Markierungen.

4. Speichern Sie das Root-Zertifikat im PEM-Format in einer Datei.

5. Erstellen Sie eine Vertrauenskonfiguration:

   1. Legen Sie die folgenden Umgebungsvariablen fest:

      ROOT_PEM_FILE=TRUST_ANCHOR_PATH
      INT_PEM_FILE1=IM_CERT_PATH
      INT_PEM_FILE2=SECOND_IM_CERT_PATH
      

      Ersetzen Sie Folgendes:

      • TRUST_ANCHOR_PATH: Der Pfad zu Ihrem PEM-codierten Trust-Anchor.
      • IM_CERT_PATH: Der Pfad zu Ihrem PEM-codierten Zwischenzertifikat.
      • SECOND_IM_CERT_PATH: Der Pfad zu Ihrem zweiten PEM-codierten Zwischenzertifikat.

   2. Bereiten Sie den Inhalt der YAML-Datei für die Vertrauenskonfiguration vor:

      ROOT=$(cat ROOT_PEM_FILE | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')
      INT_1=$(cat INT_PEM_FILE1 | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')
      INT_2=$(cat INT_PEM_FILE2 | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')
      

   3. Erstellen Sie die YAML-Datei für die Vertrauenskonfiguration:

      cat << EOF > trust_config.yaml
      name: "${TRUST_CONFIG_NAME?}"
      trustStores:
      - trustAnchors:
        - pemCertificate: "${ROOT?}"
        intermediateCas:
        - pemCertificate: "${INT_1?}"
        - pemCertificate: "${INT_2?}"
       EOF
      

      Diese YAML-Datei definiert eine Vertrauenskonfiguration mit dem Namen TRUST_CONFIG_NAME. Die Vertrauenskonfiguration enthält einen Trust Store mit dem Root-Zertifikat und zwei Zwischenzertifikaten.

   4. Importieren Sie die Vertrauenskonfiguration in den Cloud de Confiance by S3NS Zertifikatsmanager:

      gcloud certificate-manager trust-configs import TRUST_CONFIG_NAME \
        --project=GCP_PROJECT \
        --source=${PWD?}/trust_config.yaml
      

      Ersetzen Sie Folgendes:

      • TRUST_CONFIG_NAME: Der Name Ihrer Vertrauenskonfiguration.
      • GCP_PROJECT: Die Cloud de Confiance by S3NS Projekt-ID.

Wenn Sie eine komplexere Struktur mit Zwischen-CAs bereitstellen, die von der Root-CA signiert wurden, fügen Sie Ihre Zwischen-CAs als intermediateCAs hinzu.

2. Methode

Verwenden Sie Ihre eigene PKI-Bereitstellung mit vorhandenen Zertifikaten, um eine Vertrauenskonfiguration zu erstellen.

Bei dieser Art von Vertrauenskonfiguration wird ein einfacher Trust Store mit einem einzelnen Trust-Anchor angenommen, der ein Root-Zertifikat darstellt. Es werden keine Zwischenzertifikate angegeben.

Erstellen Sie eine Vertrauenskonfiguration:

1. Legen Sie die folgenden Umgebungsvariablen fest:

   ROOT_PEM_FILE=TRUST_ANCHOR_PATH
   INT_PEM_FILE1=IM_CERT_PATH
   INT_PEM_FILE2=SECOND_IM_CERT_PATH
   

   Ersetzen Sie Folgendes:

   • TRUST_ANCHOR_PATH: Der Pfad zu Ihrem PEM-codierten Trust-Anchor.
   • IM_CERT_PATH: Der Pfad zu Ihrem PEM-codierten Zwischenzertifikat.
   • SECOND_IM_CERT_PATH: Der Pfad zu Ihrem zweiten PEM-codierten Zwischenzertifikat.

2. Bereiten Sie den Inhalt der YAML-Datei für die Vertrauenskonfiguration vor:

   ROOT=$(cat ROOT_PEM_FILE | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')
   INT_1=$(cat INT_PEM_FILE1 | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')
   INT_2=$(cat INT_PEM_FILE2 | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')
   

3. Erstellen Sie die YAML-Datei für die Vertrauenskonfiguration:

   cat << EOF > trust_config.yaml
   name: "${TRUST_CONFIG_NAME?}"
   trustStores:
   - trustAnchors:
     - pemCertificate: "${ROOT?}"
     intermediateCas:
     - pemCertificate: "${INT_1?}"
     - pemCertificate: "${INT_2?}"
   EOF
   

   Diese YAML-Datei definiert eine Vertrauenskonfiguration mit dem Namen TRUST_CONFIG_NAME. Die Vertrauenskonfiguration enthält einen Trust Store mit dem Root-Zertifikat und zwei Zwischenzertifikaten.

4. Importieren Sie die Vertrauenskonfiguration in den Cloud de Confiance by S3NS Zertifikatsmanager:

   gcloud certificate-manager trust-configs import TRUST_CONFIG_NAME \
     --project=GCP_PROJECT \
     --source=${PWD?}/trust_config.yaml
   

   Ersetzen Sie Folgendes:

   • TRUST_CONFIG_NAME: Der Name Ihrer Vertrauenskonfiguration.
   • GCP_PROJECT: Die Cloud de Confiance by S3NS Projekt-ID.

3. Methode

Wenn Sie einen Chrome-Browser verwenden und ein selbst signiertes Zertifikat mit Endpunktprüfung verwenden möchten, folgen Sie der Anleitung in diesem Abschnitt.

Folgen Sie der Anleitung, um die Endpunktprüfung für Ihre Organisation bereitzustellen. Bei der Endpunktprüfung wird automatisch ein von Google ausgestelltes, selbst signiertes Zertifikat auf Ihren Geräten bereitgestellt. Sie müssen keine Vertrauenskonfiguration erstellen.

Console

1. Folgen Sie der Anleitung, um eine benutzerdefinierte Zugriffsebene zu erstellen.

2. Fügen Sie Ihrer benutzerdefinierten Zugriffsebene den folgenden Ausdruck hinzu:

   Wenn Sie eine Vertrauenskonfiguration erstellt haben (Methode 1 oder Methode 2), fügen Sie den folgenden Ausdruck in das Feld Bedingungen Ihrer benutzerdefinierten Zugriffsebene ein, um bei der Authentifizierung die PKI-Attestierungsbindung zu verwenden:

   certIsPkiAttested(origin, ["TLS_POLICY_FULL_RESOURCE_PATH1", "TLS_POLICY_FULL_RESOURCE_PATH2", …]) == true
   

   Dabei sind TLS_POLICY_FULL_RESOURCE_PATH1 und TLS_POLICY_FULL_RESOURCE_PATH2 die Pfade, die mehrere Vertrauenskonfigurationen darstellen: certificatemanager.googleapis.com/projects/GCP_PROJECT/locations/global/trustConfigs/TRUST_CONFIG_NAME.

   Sie müssen mindestens einen Pfad zur Vertrauenskonfiguration angeben.

   Ersetzen Sie Folgendes:

   • GCP_PROJECT: Die Cloud de Confiance by S3NS Projekt-ID.
   • TRUST_CONFIG_NAME: Der Name Ihrer Vertrauenskonfiguration.

   Wenn Sie ein von Google ausgestelltes, selbst signiertes Zertifikat verwendet haben (Methode 3), fügen Sie den folgenden Ausdruck in das Feld Bedingungen Ihrer benutzerdefinierten Zugriffsebene ein, um bei der Authentifizierung die Zertifikatsbindung zu verwenden:

   certificateBindingState(origin, device) == CertificateBindingState.CERT_MATCHES_EXISTING_DEVICE
   

gcloud

Wenn Sie eine Vertrauenskonfiguration erstellt haben (Methode 1 oder Methode 2), führen Sie den folgenden Befehl aus, um eine benutzerdefinierte Zugriffsebene zu erstellen, die bei der Authentifizierung die PKI-Attestierungsbindung verwendet:

gcloud access-context-manager levels create ACCESS_LEVEL_NAME \
    --title=TITLE \
    --custom-level-spec=FILE \
    --description=DESCRIPTION \
    --policy=POLICY_NAME

Ersetzen Sie Folgendes:

• ACCESS_LEVEL_NAME: Ein eindeutiger Name für die Zugriffsebene.
• TITLE: Ein für Nutzer lesbarer Titel.

• FILE: Eine YAML-Datei, die den folgenden Ausdruck enthält:

  certIsPkiAttested(origin, ["TLS_POLICY_FULL_RESOURCE_PATH1", "TLS_POLICY_FULL_RESOURCE_PATH2", …]) == true

  Dabei sind TLS_POLICY_FULL_RESOURCE_PATH1 und TLS_POLICY_FULL_RESOURCE_PATH2 die Pfade, die mehrere Vertrauenskonfigurationen darstellen: certificatemanager.googleapis.com/projects/GCP_PROJECT/locations/global/trustConfigs/TRUST_CONFIG_NAME.

  Sie müssen mindestens einen Pfad zur Vertrauenskonfiguration angeben.

  Ersetzen Sie Folgendes:

  • GCP_PROJECT: Die Cloud de Confiance by S3NS Projekt-ID.
  • TRUST_CONFIG_NAME: Der Name Ihrer Vertrauenskonfiguration.

• DESCRIPTION: Eine ausführliche Beschreibung der Zugriffsebene.

• POLICY_NAME: Die Zugriffsrichtlinie Ihrer Organisation.

Wenn Sie keine Vertrauenskonfiguration haben, weil Sie ein selbst signiertes Zertifikat mit Endpunktprüfung verwenden (Methode 3), fügen Sie Ihrer benutzerdefinierten Zugriffsebene den folgenden Ausdruck hinzu:

certificateBindingState(origin, device) == CertificateBindingState.CERT_MATCHES_EXISTING_DEVICE

Chrome

Konfigurieren Sie die Chrome-Richtlinie AutoSelectCertificateForURLs so, dass Chrome das richtige Zertifikat während des mTLS-Handshakes verwendet.

1. Prüfen Sie, ob der Chrome-Browser von der Chrome-Verwaltung über die Cloud oder von Windows-Gruppenrichtlinien verwaltet wird:

   • Windows, macOS, Linux: Folgen Sie der Anleitung, um ein verwaltetes Chrome-Profil einzurichten.
   • Chrome: Registrieren Sie das Gerät für das Unternehmen.

2. Fügen Sie die Richtlinie AutoSelectCertificateForUrls hinzu:

   1. Rufen Sie in der Admin-Konsole Geräte > Chrome > Einstellungen > Nutzer- und Browsereinstellungen > Clientzertifikate auf.
   2. Wählen Sie eine Organisation aus.
   3. Fügen Sie eine AutoSelectCertificateForUrls-Richtlinie für die URL Ihrer Webanwendung und die Informationen zum Root-Zertifikat hinzu.

Weitere Informationen finden Sie in der Dokumentation zum Richtlinienschema. Im Folgenden sehen Sie eine Beispielkonfiguration für eine Richtlinie, bei der das Zertifikat aus der Endpunktprüfung verwendet wird:

{
  "pattern":"https://[*.].mysite.com",
  "Filter":{
    "ISSUER":{
      "CN":"Google Endpoint Verification"
    }
  }
}

Safari

Konfigurieren Sie die Identitätseinstellung:

1. Öffnen Sie die Schlüsselbundverwaltung und wählen Sie Alle Objekte aus.
2. Wählen Sie das Zertifikat aus, das Sie konfigurieren möchten.
3. Klicken Sie auf Datei > Neue Identitätseinstellung.
4. Geben Sie die URL ein und klicken Sie auf Hinzufügen.

Dadurch wird ein neuer Eintrag für die Identitätseinstellung in Ihrem Schlüsselbund erstellt, den Sie aktualisieren können.

Edge

Legen Sie die AutoSelectCertificateForUrls Edge-Richtlinie gemäß der Anleitung in der Edge-Dokumentation fest.