ב-Gmail בלבד: הגדרת S/MIME להצפנה מצד הלקוח

1. יוצרים פרויקט חדש ב-GCP. פרטים נוספים זמינים במאמר יצירה וניהול של פרויקטים.

   שימו לב למזהה הפרויקט: תצטרכו להשתמש בו כדי לתת ל-API גישה ברמת הדומיין.

2. עוברים אל Google API Console ומפעילים את Gmail API בפרויקט החדש. פרטים נוספים זמינים במאמר בנושא הפעלת API בפרויקט בענן ב-Google Cloud.

1. במסוף Google Cloud, נכנסים לדף Service accounts ויוצרים חשבון שירות ברמת הדומיין. פרטים נוספים זמינים במאמר יצירה וניהול של חשבונות שירות.
2. יוצרים מפתח פרטי לחשבון שירות ושומרים את המפתח בקובץ JSON במערכת המקומית, למשל svc_acct_creds.json. הקובץ הזה מכיל את פרטי הכניסה שבהם תשתמשו כשתגדירו את Gmail למשתמשים. פרטים נוספים זמינים במאמר יצירה וניהול של מפתחות לחשבונות שירות.

בשלב הזה, תשתמשו בחשבון השירות שיצרתם כדי לתת ל-Gmail API גישת עריכה לכל המשתמשים שלכם.

1. פועלים לפי ההוראות במאמר בנושא שליטה בהרשאות הגישה ל-API באמצעות הענקת גישה ברמת הדומיין.
2. מזינים את הפרטים הבאים כשמופיעה בקשה:

   מזהה לקוח: מזהה הלקוח של חשבון השירות שנוצר בשלב 2 למעלה.

   היקפי ההרשאות של OAuth: gmail.settings.readonly וגם או gmail.settings.basic או gmail.settings.sharing

לכל משתמש שישתמש ב-CSE ב-Gmail כדי לשלוח או לקבל אימייל:

משתמשים ברשות אישורים (CA) כדי ליצור זוג מפתחות S/MIME ציבורי/פרטי עם שרשרת אישורים. אישור הקצה של S/MIME חייב לכלול את כתובת ה-Gmail הראשית של המשתמש כשם הנושא או כנושא של תוסף SAN.

אפשר לבצע אחת מהפעולות הבאות:

• להשתמש באישורי בסיס של רשות אישורים ש-Google סומכת עליה: רשימה של אישורי בסיס מופיעה במאמר אישורי CA ש-Gmail סומך עליהם ל-S/MIME.
• להשתמש ברשות אישורים שלא נחשבת מהימנה על ידי Google: לדוגמה, כדי להשתמש ברשות אישורים משלכם, אתם יכולים להוסיף את אישור הבסיס שלה במסוף Admin. פרטים נוספים זמינים במאמר בנושא ניהול אישורים מהימנים ב-S/MIME.

  הערה: אם אתם משתמשים ברשות אישורים שלא מהימנה על Google, והמשתמשים ישלחו אימייל מוצפן מצד הלקוח מחוץ לארגון, גם הנמען צריך להגדיר את רשות האישורים כמהימנה.

משתמשים בשירות הצפנת המפתחות כדי להצפין, או "לעטוף", את המטא-נתונים של המפתחות הפרטיים של S/MIME. כדי לעשות את זה, פנו לשירות המפתחות שלכם או פעלו לפי ההוראות שלהם.

אם אתם משתמשים בהצפנה באמצעות מפתח חומרה – חשוב לדלג על השלב הזה ולא לעטוף מטא-נתונים של מפתח פרטי למשתמשים שישתמשו בהצפנה באמצעות מפתח חומרה. במקרה כזה, אין צורך לעטוף את המטא-נתונים כי המפתחות הפרטיים של המשתמשים ל-Gmail נמצאים בכרטיסים החכמים שלהם. צריך את התוסף Assured Controls או Assured Controls Plus.

משתמשים ב-Gmail API כדי להעלות ל-Gmail את שרשרת האישורים של המפתח הציבורי ואת המטא-נתונים של המפתח הפרטי של כל משתמש, ויוצרים זהות כדי להגדיר אותם כמפתחות המועדפים של המשתמשים.

הערה: צריך להשתמש ב-Gmail API כדי להעלות אישורים, ולא בתוכנת Gmail. בנוסף, חשוב לדעת שהאפשרות להעלות אישורים מלקוח Gmail מושבתת כשמפעילים את CSE ב-Gmail.

מבצעים את השלבים הבאים לכל משתמש, באמצעות קובץ המפתח הפרטי שהורדתם כשיצרתם חשבון שירות ברמת הדומיין לצורך אימות:

1. מעלים את שרשרת האישורים ואת המטא-נתונים של המפתח הפרטי באמצעות הקריאה ל-Gmail API‏ keypairs.create.
2. מפעילים את צמד המפתחות של כתובת האימייל הראשית של המשתמש באמצעות הקריאה ל-Gmail API‏ identities.create.

   הקריאה ל-identities.create דורשת את מזהה זוג המפתחות שמוחזר בגוף התגובה של הקריאה ל-keypairs.create.

   הערה: הפעלת זוג המפתחות לכתובת אימייל של משתמש:

   • יוצרת זהות CSE שמורשית לשלוח אימיילים מהחשבון של המשתמש.
   • מגדירה את Gmail כך שישתמש במטא-נתונים של המפתח הפרטי כדי לחתום על אימיילים יוצאים עם CSE.
   • מפרסם את האישור במאגר משותף ברמת הדומיין, כדי שמשתמשי CSE אחרים בארגון יוכלו להצפין הודעות שנשלחות למשתמש הזה.

כדי לבצע את השלבים האלה, צריך להשתמש בסקריפט שמתממשק עם Gmail API. אפשר לבצע אחת מהפעולות הבאות:

• לכתוב תסריט משלכם.
• משתמשים בסקריפט לדוגמה ב-Python ש-Google מספקת. בהמשך הדף, בקטע שימוש בסקריפט Python של Google כדי להעלות ל-Gmail את האישורים והמפתחות העטופים של המשתמשים, מפורטות הוראות לביצוע הפעולה הזו.

  הערה: הסקריפט הזה רלוונטי רק למשתמשים שישתמשו בשירות מפתחות כדי להצפין תוכן ב-Gmail. לכל המשתמשים שישתמשו בהצפנה באמצעות מפתח חומרה, תצטרכו ליצור סקריפט אחר כדי להעלות את המטא-נתונים של המפתח הפרטי הלא עטוף שלהם.

אחרי שמעלים את האישורים, יכול להיות שיעברו עד 24 שעות לפני שהם יהיו זמינים ב-Gmail, אבל בדרך כלל זה קורה הרבה יותר מהר.

כדי להשלים את שלב 3 שלמעלה, אתם יכולים להשתמש בסקריפט Python ש-Google מספקת במקום לכתוב סקריפט משלכם.

הערה: הסקריפט הזה מבקש את 3 היקפי ההרשאות שבהם אפשר להשתמש כדי לתת ל-Gmail API גישה ברמת הדומיין (שמופיעים למעלה בדף הזה): gmail.settings.readonly,‏ gmail.settings.basic ו-gmail.settings.sharing. כדי להשתמש בסקריפט, אתם יכולים להפעיל את כל שלושת היקפי ההרשאות או להסיר מהסקריפט את היקף ההרשאות שאתם לא משתמשים בו.

הורדת הסקריפט

מורידים את חבילת הסקריפטים של Python (קובץ ‎.zip) למחשב (Mac,‏ Linux או Windows) ומחלצים את הקבצים לספריית העבודה.

יצירת סביבה וירטואלית והתקנת מודולים

מזינים את הפקודות הבאות בשורת הפקודה מספריית העבודה:

הפעלת הסקריפט

העלאת אישורים ומפתחות של משתמשים

שלב 1: יוצרים ספרייה לאחסון כל המפתחות הפרטיים שעטופים

• לדוגמה, אפשר ליצור את הספרייה $root/wrapped_keys.
• שם הקובץ של כל מפתח פרטי עטוף צריך להיות כתובת האימייל המלאה של המשתמש עם הסיומת .wrap. לדוגמה: $root/wrapped_keys/user1@example.com.wrap
• מוודאים שבקובץ המפתח הפרטי שעטוף יש אובייקט JSON עם שני שדות חובה:

שלב 2: יוצרים ספרייה לאחסון כל האישורים

• האישורים צריכים להיות בפורמט P7 PEM, אז יכול להיות שתצטרכו ליצור את הספרייה $root/p7pem_certs.
• חשוב לוודא שקובץ האישור מכיל את השרשרת המלאה לרשות אישורי הבסיס (CA).
• שם הקובץ של כל אישור צריך להיות כתובת האימייל המלאה של המשתמש עם הסיומת .p7pem. לדוגמה: $root/p7pem_certs/user1@example.com.p7pem

אם יש לכם קובץ P7B: אתם יכולים להשתמש בפקודת openssl הבאה כדי להמיר אותו לפורמט P7 PEM:

שלב 3: מעלים את זוגות המפתחות והזהויות של המשתמשים

בשלב הזה תצטרכו את קובץ ה-JSON שמכיל את פרטי הכניסה לחשבון השירות, ששמרתם במחשב בשלב 2: יצירת חשבון שירות למעלה.

הדרך הכי קלה להעלות את זוגות המפתחות והזהויות של המשתמשים היא להריץ את הפקודה insert. שימו לב שלכל פקודה צריך להיות ארגומנט, לדוגמה:

לחלופין, אפשר לבצע את הפעולות הבאות לכל משתמש:

1. מריצים את insert_keypair ורושמים את מזהה צמד המפתחות.
2. מריצים את insert_identity באמצעות מזהה צמד המפתחות הזה.

אפשר גם להריץ את הפקודה list_keypair כדי לקבל את המזהה של צמד המפתחות.

שלב 4: מוודאים שלמשתמשים יש זוגות מפתחות וזהויות ל-CSE

כדי לוודא שלמשתמשים יש זהויות וזוגות מפתחות תקינים ב-Gmail, מריצים את הפקודות הבאות לכל משתמש:

list_keypair

list_identity