Activer ou désactiver le chiffrement côté client

Éditions compatibles avec cette fonctionnalité : Enterprise Plus, Education Standard et Education Plus.  Comparer votre édition

Vous pouvez activer le chiffrement côté client (CSE) Google Workspace pour les utilisateurs qui doivent créer des contenus chiffrés avec les services suivants :

• Google Drive : activez le CSE uniquement pour les utilisateurs qui ont besoin de créer des documents, feuilles de calcul et présentations chiffrés côté client, ou d'importer des fichiers chiffrés côté client vers Drive. Il n'est pas nécessaire d'activer le CSE pour les utilisateurs qui ne font que consulter et modifier les fichiers partagés avec eux.
• Gmail : activez le CSE uniquement pour les utilisateurs qui ont besoin d'envoyer ou de recevoir des messages chiffrés.

  Avant d'activer le CSE pour Gmail:assurez-vous d'activer l'API Gmail et d'importer les clés de chiffrement des utilisateurs. Pour en savoir plus, consultez Gmail uniquement: Importer des clés de chiffrement pour le chiffrement côté client.

• Google Agenda : activez le CSE uniquement pour les utilisateurs qui ont besoin de créer des événements d'agenda chiffrés côté client. Vous devez également activer le CSE pour Drive et Meet pour ces utilisateurs si vous souhaitez qu'ils joignent des documents chiffrés côté client et organisent des réunions chiffrées côté client. Il n'est pas nécessaire d'activer le CSE pour les invités d'un événement.
• Google Meet : activez le CSE uniquement pour les utilisateurs qui doivent héberger des réunions en ligne chiffrées côté client. Il n'est pas nécessaire d'activer le CSE pour les autres participants des réunions.

Pour les utilisateurs qui ne font que consulter et modifier des contenus chiffrés, assurez-vous que :

• les utilisateurs internes figurent sur la liste de contrôle d'accès aux clés de votre service de clés. Pour en savoir plus, consultez Configurer votre service de clés pour le chiffrement côté client.
• le fournisseur d'identité (IdP) des utilisateurs externes figure sur la liste d'autorisation de votre service de clés. Pour en savoir plus, consultez Conditions requises pour le CSE.

Avant de commencer

Ouvrir la section  |  Tout réduire

Assurez-vous d'avoir effectué les étapes suivantes :

1. Choisissez un service de clés.
2. Connectez-vous à votre fournisseur d'identité (IdP).
3. Configurez votre service de clés externe ou le chiffrement par clé matérielle.
4. Attribuez un service de clés ou le chiffrement par clé matérielle à des unités organisationnelles ou à des groupes.

   Si vous utilisez plusieurs services de clés, assurez-vous qu'ils sont attribués aux unités organisationnelles ou aux groupes de configuration appropriés.

Comprendre les limites d'utilisation du CSE avec les services compatibles

Pour en savoir plus sur les fonctionnalités non disponibles lorsque les utilisateurs choisissent d'utiliser le CSE, consultez Expérience utilisateur du CSE.

Ajouter des utilisateurs aux unités organisationnelles et aux groupes si nécessaire

Assurez-vous d'avoir placé les utilisateurs dans les unités organisationnelles ou groupes pour lesquels vous souhaitez activer le CSE pour tous les services ou des services spécifiques.

• Pour savoir comment créer des unités organisationnelles, consultez Ajouter une unité organisationnelle. 
• Pour savoir comment créer et utiliser des groupes de configuration, consultez Personnaliser les paramètres de service à l'aide de groupes de configuration.

Vous pouvez définir le CSE comme paramètre par défaut pour les applications des utilisateurs

Requires having the Assured Controls add-on.

Lorsque vous activez le CSE pour des unités organisationnelles, vous pouvez le définir comme paramètre par défaut pour les services suivants, y compris pour les applications Web et mobiles:

• Gmail : le contenu est chiffré par défaut lorsque les utilisateurs rédigent un e-mail, y répondent ou le transfèrent.
• Google Drive : le contenu est chiffré par défaut lorsque les utilisateurs créent des fichiers, tels que des documents, des feuilles de calcul et des présentations.
• Google Agenda : les descriptions d'événements sont chiffrées par défaut lorsque les utilisateurs créent un événement. Les réunions Google Meet sont également chiffrées par défaut. 

Si vous activez le CSE par défaut, les utilisateurs ont toujours la possibilité de le désactiver si nécessaire. Vous pouvez surveiller les actions des utilisateurs pour désactiver le CSE pour Drive et Agenda à l'aide de l'outil d'investigation de sécurité. Pour en savoir plus, consultez Afficher les journaux et les rapports du chiffrement côté client.

Remarque : Pour le moment, vous ne pouvez définir le CSE comme paramètre par défaut pour un service que pour les unités organisationnelles, et non pour les groupes de configuration.

Activer ou désactiver le CSE pour les utilisateurs

Pour activer le CSE pour des utilisateurs, vous devez l'activer pour les unités organisationnelles ou groupes de configuration auxquels les utilisateurs appartiennent. Une fois que vous avez activé l'accès utilisateur pour le CSE, les utilisateurs peuvent choisir de chiffrer le contenu.

Lorsque vous activez le CSE pour une unité organisationnelle, vous pouvez le définir comme l'option par défaut pour Gmail, Google Drive et Google Agenda (pour le Web et les applications mobiles). Requires having the Assured Controls add-on..

Pour empêcher les utilisateurs de chiffrer du contenu, vous pouvez désactiver le CSE pour les unités organisationnelles ou les groupes de configuration auxquels ils appartiennent. Si vous désactivez le CSE pour les utilisateurs, le contenu chiffré côté client existant reste chiffré et accessible.

Pour ce faire, vous devez être connecté en tant que super-administrateur.

1. Connectez-vous à votre Console d'administration Google.

   Connectez-vous avec un compte disposant de droits de super-administrateur (ne se terminant pas par @gmail.com).

2. Dans la console d'administration, accédez à Menu    Sécurité  Contrôle des accès et des données  Chiffrement côté client.
3. Sous Applications, cliquez sur le nom du service Google pour lequel vous souhaitez activer ou désactiver le CSE pour les utilisateurs.

   Vous pouvez également cliquer sur Attribuer sous Chiffrement avec un service de clés externe ou Chiffrement avec des clés matérielles. Puis, sous Chiffrement par application, sélectionnez le service Google pour lequel vous souhaitez activer le CSE.

4. Dans le panneau de gauche, sélectionnez l'unité organisationnelle ou le groupe pour lequel vous souhaitez activer ou désactiver le CSE.
5. Sous Accès des utilisateurs, sélectionnez Activé ou Désactivé.
6. Dans le message qui s'affiche, confirmez votre sélection.
7. (Facultatif pour les unités organisationnelles uniquement) Pour chiffrer du contenu Gmail, Drive ou Agenda avec le service Google par défaut, cochez l'option Activer le chiffrement côté client par défaut. Les utilisateurs auront toujours la possibilité de désactiver le chiffrement.
   Requires having the Assured Controls add-on.
8. Cliquez sur Remplacer pour conserver la configuration dans les cas où les paramètres de CSE de l'unité organisationnelle parente sont modifiés.
9. Si Remplacé est déjà défini pour l'unité organisationnelle, sélectionnez une option :
   • Hériter : rétablit le paramètre de CSE du parent.
   • Enregistrer : conserve votre nouveau paramètre de CSE, même si celui du parent est modifié.

Les modifications peuvent prendre jusqu'à 24 heures, mais sont généralement plus rapides. En savoir plus

Si vous avez activé le CSE pour Gmail

Pour chaque utilisateur qui aura recours au CSE Gmail, vous devez préparer et importer les certificats S/MIME et les métadonnées de clé privée chiffrées dans Gmail. Pour en savoir plus, consultez Configurer le CSE Gmail pour les utilisateurs.

Si les utilisateurs ont du mal à utiliser le CSE

Consultez le centre d'alerte si les utilisateurs ont du mal à utiliser le CSE. Pour en savoir plus, consultez Service de chiffrement côté client indisponible.