Google Workspace

Apprenez comment configurer l'inscription de certificats via SCEP pour ChromeOS (Chromebook) en utilisant Chrome Enterprise et SCEPman.

Flux de travail d'émission des certificats SCEP

1. Le Chromebook génère une clé privée sécurisée par le matériel.

2. Google génère une CSR avec le profil SCEP.

3. Le connecteur transmet la CSR à SCEPman.

4. SCEPman signe la CSR et renvoie la CSR signée au connecteur qui la transmet à PubSub.

5. PubSub envoie la CSR signée à la gestion des appareils pour stockage temporaire.

6. La gestion des appareils envoie la CSR signée au Chromebook où elle est fusionnée avec la clé privée sécurisée par le matériel. La CSR signée est supprimée du stockage temporaire.

Prérequis

Google Workspace

Ce guide suppose que vous avez déjà approvisionné des ordinateurs Chromebook exécutant ChromeOS version 89 ou ultérieure gérés avec Chrome Enterprise.

Abonnements minimaux requis

Google Cloud Certificate Connector (GCCC)

Prérequis

• Le GCCC nécessite un appliance ou une VM Windows Server exécutant Windows Server 2016 ou une version ultérieure.

• L'instance Windows Server doit disposer des accès réseau suivants :

  • Sortant : HTTP (80) et HTTPS (443).

Installation du GCCC

1. Dans votre Google Console d'administration (sur admin.google.com) > Accédez à Menu > Appareils > Réseau

2. Cliquer sur SCEP sécurisé > Télécharger le connecteur.

3. Dans la section Google Cloud Certificate Connector cliquez sur Télécharger. Le téléchargement crée un dossier sur votre bureau contenant le connecteur de certificats. Nous vous recommandons de télécharger les autres fichiers de configuration du connecteur dans ce dossier.

4. Dans la section Téléchargez le fichier de configuration du connecteur cliquez sur Télécharger. Le config.json se télécharge.

5. Dans la section Obtenir une clé de compte de service cliquez sur Générer la clé. Le key.json se télécharge.

6. Exécutez l'installateur du connecteur de certificats.

   1. Dans l'assistant d'installation, cliquez sur Suivant.

   2. Acceptez les termes du contrat de licence et cliquez sur Suivant.

   3. Choisissez le compte pour lequel le service est installé et cliquez sur Suivant. Le compte doit avoir les privilèges pour se connecter en tant que service sur le serveur Windows.

   4. Sélectionnez l'emplacement d'installation. Nous recommandons d'utiliser le paramétrage par défaut. Cliquez sur Suivant.

   5. Saisissez vos informations d'identification du compte de service et cliquez sur Suivant. Le service s'installe.

   6. Cliquer sur Terminer pour compléter l'installation.

7. Déplacez les fichiers de configuration et de clé (config.json et key.json) dans le dossier GCCC créé lors de l'installation, généralement : C:\Program Files\Google Cloud Certificate Connector.

8. Lancez le service Google Cloud Certificate Connector :

   1. Ouvrez les Services Windows.

   2. Sélectionnez Google Cloud Certificate Connector dans la liste des services.

   3. Cliquer sur Démarrer pour démarrer le service. Assurez-vous que le statut passe à En cours d'exécution. Le service redémarre automatiquement si l'ordinateur redémarre.

Si vous téléchargez une nouvelle clé de compte de service ultérieurement, redémarrez le service pour l'appliquer.

SCEPman

Activez l'intégration Google Workspace en ajoutant les variables d'environnement suivantes au service d'application SCEPman :

Vous pouvez différencier le service d'application SCEPman et le Certificate Master en recherchant le Service d'Application sans le "-cm" dans son nom

Paramètre	Description	Value
AppConfig:StaticValidation:Enabled	Activer la validation tierce	true pour activer, false pour désactiver
AppConfig:StaticValidation:RequestPassword	Les demandes de signature de certificat envoyées à SCEPman pour signature sont authentifiées avec ce mot de passe statique sécurisé Recommandation: Stockez ce secret dans Azure KeyVault.	générez un mot de passe de 32 caractères
AppConfig:StaticValidation:ValidityPeriodDays (optionnel)	Nombre de jours de validité des certificats émis via Google Workspace	365
AppConfig:StaticValidation:EnableCertificateStorage (optionnel)	Stocker les certificats demandés dans le compte de stockage, afin de les afficher dans SCEPman Certificate Master	true pour activer, false pour désactiver

Pour plus d'informations et de références, veuillez visiter Aide administrateur Google Workspace ou téléchargez le guide PDF original Configuration de l'enrôlement de certificats pour ChromeOS via SCEP.

Google, Google Workspace, ChromeOS et les marques et logos associés sont des marques commerciales de Google LLC.