Zertifikate für verwaltete Mobilgeräte und ChromeOS-Geräte einrichten

Mobilgeräte: Unterstützte Versionen für diese Funktion: Frontline Standard und Frontline Plus; Enterprise Standard und Enterprise Plus; Education Standard, Education Plus und Endpoint Education Upgrade; Cloud Identity Premiumversion. Versionen vergleichen

ChromeOS-Geräte: Für gerätebasierte Zertifikate ist Chrome Enterprise erforderlich.

Sie können auf Mobil- und ChromeOS-Geräten den Nutzerzugriff auf WLANs und Ethernet-Netzwerke, virtuelle private Netzwerke (VPNs) sowie interne Apps und Websites Ihrer Organisation steuern. Dazu verteilen Sie Zertifikate von Ihrer lokalen Zertifizierungsstelle (CA). Google Cloud Certificate Connector ist ein Windows-Dienst, mit dem sich Zertifikate und Authentifizierungsschlüssel von Ihrem SCEP-Server (Simple Certificate Enrollment Protocol) sicher auf den Mobilgeräten und ChromeOS-Geräten der Nutzer aktivieren lassen. Weitere Informationen finden Sie auf dieser Seite unter Funktionsweise der Authentifizierung per Zertifikat über Google Cloud Certificate Connector.

Für ChromeOS-Geräte können Sie nutzer- oder gerätebasierte Zertifikate einrichten. Ein Nutzerzertifikat wird einem Gerät für einen bestimmten Nutzer hinzugefügt und ist für diesen Nutzer zugänglich. Ein Gerätezertifikat wird basierend auf dem Gerät zugewiesen und ist für jeden Nutzer zugänglich, der auf dem Gerät angemeldet ist. Weitere Informationen finden Sie im Hilfeartikel Clientzertifikate auf Chrome-Geräten verwalten.

Wenn Sie den WLAN-Zugriff sowohl auf Mobilgeräten als auch auf ChromeOS-Geräten steuern möchten, müssen Sie separate SCEP-Profile und WLANs einrichten, da Mobilgeräte und ChromeOS-Geräte unterschiedliche RSA-Schlüsseltypen unterstützen.

Hinweise zur Schlüsselspeicherung:

• Bei Mobilgeräten werden private Schlüssel für die Zertifikate auf Google-Servern generiert. Sie werden dort gelöscht, nachdem das Zertifikat auf dem Gerät installiert wurde oder spätestens nach 24 Stunden.
• Bei ChromeOS-Geräten werden private Schlüssel für die Zertifikate auf dem ChromeOS-Gerät generiert. Der entsprechende öffentliche Schlüssel wird vorübergehend auf Google-Servern gespeichert und nach der Installation des Zertifikats gelöscht.

Systemanforderungen

• Microsoft Active Directory Certificate Service als SCEP-Server und den Microsoft Network Device Enrollment Service (NDES) zur Verteilung der Zertifikate.
• Mobilgeräte:iOS- und Android-Geräte im Rahmen der erweiterten Mobilgeräteverwaltung. Weitere Informationen zu den Geräteanforderungen

• ChromeOS-Geräte:

  • Gerätezertifikate: ChromeOS-Version 89 oder höher und mit Chrome Enterprise verwaltet

  • Nutzerzertifikate: ChromeOS-Version 86 oder höher.

    Hinweis:Bei Versionen vor 87 müssen Nutzer das Gerät neu starten oder einige Stunden warten, bis das Nutzerzertifikat bereitgestellt wird.

Hinweis

• Wenn Sie den Zertifikatsbetreffnamen für Active Directory-Nutzernamen benötigen, müssen Sie Active Directory und Google Directory mit Google Cloud Directory Sync (GCDS) synchronisieren. Gegebenenfalls müssen Sie hierfür GCDS einrichten.
• Falls Sie noch kein CA-Zertifikat in die Google Admin-Konsole hochgeladen haben, fügen Sie eines hinzu.
• Sehen Sie sich die bekannten Probleme an, um unerwartetes Verhalten zu vermeiden.

Bekannte Probleme

• Zertifikate können nicht widerrufen werden, nachdem sie auf einem Gerät installiert wurden.
• SCEP-Profile unterstützen keine dynamischen Aufgaben.
• Die Übernahme von SCEP-Profilen zwischen Organisationseinheiten kann in einigen Fällen fehlschlagen. Wenn Sie beispielsweise ein SCEP-Profil für eine Organisationseinheit festlegen und das SCEP-Profil einer untergeordneten Organisationseinheit ändern, kann keines der SCEP-Profile der übergeordneten Organisationseinheit mehr von der untergeordneten Organisationseinheit übernommen werden.
• Bei Mobilgeräten können SCEP-Profile nicht auf VPN- oder Ethernet-Konfigurationen angewendet werden, sondern nur auf WLAN-Konfigurationen.
• Bei ChromeOS-Geräten können SCEP-Profile nicht direkt auf VPN- oder Ethernet-Konfigurationen angewendet werden. Wenn Sie ein SCEP-Profil indirekt auf VPN- oder Ethernet-Konfigurationen anwenden möchten, verwenden Sie Aussteller- oder Betreffmuster, um automatisch auszuwählen, welches Zertifikat verwendet werden soll.
• Für Nutzer von ChromeOS-Geräten können Zertifikate nur für Nutzer bereitgestellt werden, die auf einem verwalteten Gerät angemeldet sind. Der Nutzer und das Gerät müssen zur selben Domain gehören.

Schritt 1: Google Cloud Certificate Connector herunterladen

Führen Sie die folgenden Schritte auf dem SCEP-Server oder einem Windows-Computer mit einem Konto aus, das sich als Dienst auf dem SCEP-Server anmelden kann. Halten Sie die Kontoanmeldedaten bereit.

Wenn Sie in Ihrer Organisation mehrere Server nutzen, können Sie auf allen denselben Zertifikat-Connector verwenden. Laden Sie die Installationsdatei, die Konfigurationsdatei und die Schlüsseldatei herunter und installieren Sie sie auf einem Computer, wie in den folgenden Schritten beschrieben. Kopieren Sie diese drei Dateien dann auf den anderen Computer und folgen Sie der Einrichtungsanleitung auf diesem Computer.

Hinweis:Sie müssen Google Cloud Certificate Connector und die zugehörigen Komponenten nur einmal herunterladen, wenn Sie die Zertifikate für Ihre Organisation einrichten. Ein einzelner Zertifikat-Connector kann für alle Zertifikate und SCEP-Profile genutzt werden.

1. Öffnen Sie in der Admin-Konsole das Menü  Geräte Netzwerke.

   Zu den Netzwerken

   Hierfür benötigen Sie die Administratorberechtigung Einstellungen für gemeinsam verwendete Geräte.

2. Klicken Sie auf Sichere SCEP-Profile Connector herunterladen.
3. Klicken Sie im Abschnitt Connector für Google Cloud-Zertifikate auf Herunterladen.
4. Klicken Sie auf der Seite Google Cloud Certificate Connector auf Herunterladen, um die Datei „connector_installer.exe“ herunterzuladen.
5. Schließen Sie die Seite Vielen Dank, dass Sie den Google Cloud Certificate Connector heruntergeladen haben!.
6. Klicken Sie in der Admin-Konsole im Abschnitt Konfigurationsdatei für den Connector herunterladen auf Herunterladen, um die Datei „config.json“ herunterzuladen.
7. Klicken Sie im Abschnitt Dienstkontoschlüssel abrufen auf Schlüssel generieren, um die Datei „key.json“ herunterzuladen.

8. Führen Sie connector_installer.exe als Administrator aus.

   Hinweis: Das Installationsprogramm registriert den Connector-Dienst mit Standardanmeldedaten (LocalService). Später können Sie den Dienst so ändern, dass er als anderes Dienstkonto ausgeführt wird. Rufen Sie dazu das Installationsverzeichnis für den Connector auf und führen Sie configtool.exe aus, um das ConfigTool zu öffnen.

9. Verschieben Sie die Konfigurations- und die Schlüsseldatei (config.json und key.json) in den während der Installation erstellten Ordner. Er befindet sich normalerweise unter C:\Programme\Google Cloud Certificate Connector.

10. Öffnen Sie den Dienst „Google Cloud Certificate Connector“:

    1. Öffnen Sie "Windows-Dienste".
    2. Wählen Sie Google Cloud Certificate Connector aus der Liste aus.
    3. Klicken Sie auf Starten. Der Status ändert sich in Aktiv. Der Dienst wird automatisch neu gestartet, wenn der Computer neu gestartet wird.

Wenn Sie später einen neuen Dienstkontoschlüssel herunterladen, starten Sie den Dienst neu, um ihn anzuwenden.

Schritt 2: SCEP-Profil hinzufügen

Das SCEP-Profil definiert das Zertifikat, mit dem Nutzer auf Ihr WLAN- oder Ethernet-Netzwerk oder VPN zugreifen können. Sie weisen das Profil bestimmten Nutzern zu, indem Sie es einer Organisationseinheit hinzufügen. Sie können mehrere SCEP-Profile einrichten, um den Zugriff nach Organisationseinheit und Gerätetyp zu verwalten. Wir empfehlen, für jede Organisationseinheit, für die das Profil gelten soll, ein separates SCEP-Profil festzulegen.

Hinweis:Wenn Sie für diese Einstellung eine Abteilung oder ein Team einrichten möchten, lesen Sie den Hilfeartikel Organisationseinheit hinzufügen.

1. Öffnen Sie in der Admin-Konsole das Menü  Geräte Netzwerke.

   Zu den Netzwerken

   Hierfür benötigen Sie die Administratorberechtigung Einstellungen für gemeinsam verwendete Geräte.

2. Optional: Wenn Sie die Einstellung auf eine Abteilung oder ein Team anwenden möchten, wählen Sie an der Seite eine Organisationseinheit aus.
3. Klicken Sie unter Sicheres SCEP-Profil auf Sicheres SCEP-Profil erstellen. Wenn Sie bereits ein SCEP-Profil erstellt haben, klicken Sie auf Sicheres SCEP-Profil Sicheres SCEP-Profil hinzufügen.

4. Geben Sie die Details zur Konfiguration des Profils ein. Wenn Ihre Zertifizierungsstelle eine bestimmte Vorlage ausgibt, sollten die Informationen damit übereinstimmen.

   • Plattformen, für die dieses Profil gilt: Die Geräteplattformen, für die das SCEP-Profil verwendet wird. Klicken Sie für ChromeOS-Geräte je nach bereitzustellendem Zertifikatstyp das Kästchen Chromebook (Nutzer), Chromebook (Gerät) oder beide an.
   • SCEP-Profilname: Ein aussagekräftiger Name. Er wird bei der Konfiguration des WLAN-Netzwerks in der Profilliste und in der Profilauswahl angezeigt.
   • Format des Antragstellernamens: Wählen Sie aus, wie der Zertifikatsinhaber identifiziert werden soll. Wenn Sie Vollständiger Distinguished Name auswählen, ist der Common Name des Zertifikats der Nutzername des Nutzers.

   • Alternativer Antragstellername: Hier können Sie einen alternativen Namen angeben. Standardmäßig ist keine Option ausgewählt. Für ChromeOS-Geräte können Sie auf Grundlage von Nutzer- und Geräteattributen alternative Antragstellernamen festlegen. Wenn Sie eine benutzerdefinierte Zertifikatsignierungsanfrage verwenden möchten, konfigurieren Sie die Zertifikatsvorlage in der Zertifizierungsstelle so, dass ein Zertifikat mit den in der Anfrage definierten Werten erwartet und erstellt wird. Dafür müssen Sie mindestens einen Wert für den CommonName angeben.

     Sie können die folgenden Platzhalter verwenden. Alle Werte sind optional.

     • ${DEVICE_DIRECTORY_ID}: Verzeichnis-ID eines Geräts
     • ${USER_EMAIL}: E-Mail-Adresse des angemeldeten Nutzers
     • ${USER_EMAIL_DOMAIN}: Domainname des angemeldeten Nutzers
     • ${DEVICE_SERIAL_NUMBER}: Seriennummer des Geräts
     • ${DEVICE_ASSET_ID}: Asset-ID, die dem Gerät vom Administrator zugewiesen wurde
     • ${DEVICE_ANNOTATED_LOCATION}: Standort, der dem Gerät vom Administrator zugewiesen wurde
     • ${USER_EMAIL_NAME}: erster Teil der E-Mail-Adresse des angemeldeten Nutzers (vor dem @)

     Wenn kein Platzhalterwert verfügbar ist, wird ein leerer String eingefügt.

   • Signaturalgorithmus: Die Hash-Funktion zur Verschlüsselung des Authentifizierungsschlüssels. "SHA256 mit RSA" ist hier die einzige Option.

   • Schlüsselverwendung: Optionen für die Verwendung des Schlüssels, die Schlüsselverschlüsselung und die Signierung. Sie können auch mehrere Partner gleichzeitig auswählen.

   • Schlüsselgröße (Bits): Die Größe des RSA-Schlüssels. Wählen Sie für ChromeOS-Geräte „2048“ aus.

   • Wählen Sie unter Sicherheit den Typ der Attestierung aus, der für verbundene Geräte erforderlich ist. Diese Einstellung gilt nicht für Mobilgeräte.

   • Konfigurieren Sie im Abschnitt SCEP-Serverattribute Werte und Einstellungen für den SCEP-Server.

     • SCEP-Server-URL: Die URL des SCEP-Servers.
     • Gültigkeitsdauer des Zertifikats (Jahre): Gibt an, wie lange das Gerätezertifikat gültig ist. Diese muss als Zahl eingegeben werden.
     • Innerhalb von Tagen verlängern: Wie lange vor Ablauf des Gerätezertifikats versucht werden soll, das Zertifikat zu verlängern.
     • Erweiterte Schlüsselverwendung: Weitere Optionen zur Verwendung des Schlüssels. Sie können mehrere Werte auswählen.
     • Art der Identitätsbestätigung: Wenn Sie möchten, dass Google eine bestimmte Identitätsbestätigungs-Passphrase bereitstellt, wenn ein Zertifikat vom SCEP-Server angefordert wird, wählen Sie Statisch aus und geben Sie die Passphrase ein. Wählen Sie Keine aus, falls Sie die Bestätigung nicht möchten.
     • Name der Vorlage: Der Name der vom NDES-Server verwendeten Vorlage.
     • Zertifizierungsstelle: Der Name des Zertifikats, das Sie zur Verwendung als Zertifizierungsstelle hochgeladen haben.
     • Netzwerktyp, für den dieses Profil gilt: Der Typ der Netzwerke, für die das SCEP-Profil verwendet wird.
5. Klicken Sie auf Speichern. Alternativ können Sie für eine Organisationseinheit auf Überschreiben klicken.

   Wenn Sie den übernommenen Wert später wiederherstellen möchten, klicken Sie auf Übernehmen.

Nachdem Sie ein Profil hinzugefügt haben, wird es zusammen mit seinem Namen und den Plattformen, auf denen es aktiviert wurde, in der Liste angezeigt. In der Spalte Plattform sehen Sie ein blaues Symbol hinter den Plattformen, für die das Profil aktiviert ist. Bei den anderen Plattformen ist das Symbol grau. Wenn Sie ein Profil ändern möchten, bewegen Sie den Mauszeiger auf die zu ändernde Zeile und klicken Sie auf „Bearbeiten“ .

Das SCEP-Profil wird automatisch für die Nutzer in der Organisationseinheit aktiviert.

Schritt 3: Schlüsselspeicher des Google Cloud Certificate Connectors konfigurieren

Wenn Ihr Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde oder die URL Ihres SCEP-Servers mit HTTP beginnt, überspringen Sie diesen Schritt.

Wenn Ihr Zertifikat nicht von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde, z. B. ein selbst signiertes Zertifikat, müssen Sie das Zertifikat in den Keystore des Google Cloud Certificate Connectors importieren. Andernfalls kann das Gerätezertifikat nicht bereitgestellt werden und das Gerät kann keine Verbindung herstellen.

1. Melden Sie sich bei Ihrer Zertifizierungsstelle an.
2. Wenn noch keine Java JRE installiert ist, installieren Sie eine, damit Sie keytool.exe verwenden können.
3. Öffnen Sie die Eingabeaufforderung.

4. Exportieren Sie Ihr CA-Zertifikat und konvertieren Sie es mit den folgenden Befehlen in eine PEM-Datei:

   certutil ‑ca.cert C:\root.cer
   certutil ‑encode cacert.cer cacert.pem

5. Importieren Sie das CA-Zertifikat in den Schlüsselspeicher. Führen Sie im Unterverzeichnis des während der Installation erstellten Google Cloud Certificate Connector-Ordners (normalerweise C:\Programme\Google Cloud Certificate Connector) den folgenden Befehl aus. Ersetzen Sie dabei java-home-dir durch den Pfad zur JRE im Google Cloud Certificate Connector-Ordner und cert-export-dir durch den Pfad zum Zertifikat, das Sie in Schritt 4 exportiert haben: java-home-dir\bin\keytool.exe ‑import ‑keystore rt\lib\security\cacerts ‑trustcacerts ‑file cert-export-dir\cacert.pem ‑storepass changeit

Schritt 4: Netzwerke so konfigurieren, dass das SCEP-Profil erforderlich ist (optional)

Je nach Netzwerktyp können Sie es so einrichten, dass das SCEP-Profil erforderlich ist.

Funktionsweise der Authentifizierung per Zertifikat über Google Cloud Certificate Connector

Google Cloud Certificate Connector ist ein Windows-Dienst, der eine exklusive Verbindung zwischen Ihrem SCEP-Server und Google herstellt. Der Zertifikat-Connector wird durch eine Konfigurationsdatei und eine Schlüsseldatei konfiguriert und gesichert. Beide Dateien sind nur für Ihre Organisation bestimmt.

Sie weisen Geräten und Nutzern mit SCEP-Profilen Zertifikate zu. Sie fügen das Profil einfach einer Organisationseinheit hinzu, um es den Nutzern darin zuzuordnen. Im Profil ist die Zertifizierungsstelle für Gerätezertifikate enthalten. Wenn ein Nutzer sein Mobil- oder ChromeOS-Gerät für die Verwaltung registriert, ruft die Google-Endpunktverwaltung das SCEP-Profil des Nutzers ab und installiert das Zertifikat auf dem Gerät. Bei ChromeOS-Geräten wird ein Gerätezertifikat installiert, bevor sich der Nutzer anmeldet. Ein Nutzerzertifikat wird dagegen installiert, nachdem sich der Nutzer angemeldet hat. Wenn das Gerät bereits registriert ist, erfolgt dies bei der nächsten Synchronisierung.

Wenn ein Nutzer versucht, eine Verbindung zu Ihrem Netzwerk herzustellen, wird er aufgefordert, das Zertifikat anzugeben. Auf Android-Geräten wird das Zertifikat automatisch ausgewählt und der Nutzer klickt auf Verbinden. Auf iOS-Geräten muss der Nutzer das Zertifikat manuell auswählen und dann eine Verbindung herstellen. Das Gerät greift über einen Schlüssel, der von Google über den Zertifikat-Connector ausgehandelt wurde, auf das Netzwerk Ihrer Organisation zu. Google speichert den Schlüssel während der Sicherheitsverhandlung vorübergehend, löscht ihn aber, sobald er auf dem Gerät installiert wurde (oder nach 24 Stunden).

Google, Google Workspace und zugehörige Warenzeichen und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der jeweiligen Unternehmen.