Menetapkan enkripsi sisi klien kepada pengguna

Setelah menambahkan satu atau beberapa layanan kunci enkripsi eksternal ke konsol Admin untuk Google Workspace Enkripsi sisi klien (CSE), Anda perlu menetapkannya ke unit organisasi atau grup konfigurasi. Dengan menetapkan layanan kunci enkripsi, pengguna yang telah Anda tambahkan ke daftar kontrol akses kunci (KACL) layanan eksternal dapat mengenkripsi dan mendekripsi konten.

Jika telah menyiapkan enkripsi kunci hardware untuk CSE Gmail, Anda perlu menetapkannya ke unit organisasi atau grup konfigurasi. Requires having the Assured Controls add-on.

Untuk pengguna yang perlu mengenkripsi konten, Anda juga harus mengaktifkan CSE. Untuk mengetahui detailnya, buka Mengaktifkan atau menonaktifkan enkripsi sisi klien.

Sebelum memulai

Buka bagian  |  Ciutkan semua

Pastikan Anda telah menyelesaikan langkah-langkah berikut

1. Memilih layanan kunci enkripsi.
2. Menghubungkan ke penyedia identitas (IdP) Anda.
3. Siapkan layanan kunci enkripsi eksternal atau enkripsi kunci hardware.
4. Tambahkan layanan kunci enkripsi atau enkripsi kunci hardware ke konsol Admin.

Memastikan Anda menetapkan layanan kunci enkripsi default

Untuk memastikan layanan CSE berfungsi dengan baik di seluruh organisasi, Anda harus menjadikan layanan kunci enkripsi eksternal sebagai layanan default untuk seluruh organisasi. Misalnya, jika CSE diaktifkan untuk grup, tetapi grup tersebut menggunakan drive bersama di unit organisasi dengan CSE yang dinonaktifkan, layanan kunci enkripsi default akan digunakan. 

Saat menambahkan layanan kunci enkripsi pertama ke konsol Admin, Anda akan diminta untuk menetapkan layanan default di unit organisasi tingkat teratas. Jika belum menetapkan layanan default, pastikan Anda melakukannya sebelum mengaktifkan CSE untuk pengguna. Untuk mengetahui petunjuknya, buka Menetapkan layanan kunci enkripsi default untuk organisasi Anda nanti di halaman ini.

Jika Anda ingin menggunakan beberapa layanan kunci enkripsi untuk pengguna yang berbeda

Anda dapat menetapkan layanan kunci enkripsi yang berbeda dari layanan default untuk unit organisasi atau grup. Misalnya, Anda mungkin ingin menggunakan layanan kunci enkripsi yang berbeda untuk lokasi yang berbeda bagi organisasi Anda.

Jika konten sudah dienkripsi dengan layanan kunci enkripsi saat ini, sebaiknya migrasikan konten terenkripsi ke layanan baru. Buka Jika Anda ingin beralih ke layanan kunci enkripsi baru nanti di halaman ini.

Jika Anda ingin beralih ke layanan kunci enkripsi baru

Jika sebelumnya telah menetapkan layanan kunci enkripsi untuk unit organisasi atau grup, Anda dapat beralih ke layanan lainnya. Jika ada konten yang sudah dienkripsi oleh layanan kunci enkripsi saat ini, praktik terbaiknya adalah memigrasikan konten ke layanan baru. Untuk mengetahui detailnya, buka Memigrasikan konten terenkripsi ke layanan kunci enkripsi baru nanti di halaman ini.

Jika Anda beralih ke layanan kunci enkripsi baru tetapi tidak memigrasikan konten: Konten terenkripsi yang sudah ada akan tetap dienkripsi hanya oleh layanan saat ini, bukan oleh layanan baru yang Anda tambahkan. Ini berarti Anda harus terus menggunakan layanan saat ini agar konten yang sebelumnya dienkripsi tetap dapat diakses. 

Menetapkan enkripsi dengan layanan kunci enkripsi

Menetapkan layanan kunci enkripsi default untuk organisasi Anda

Anda harus login sebagai administrator super untuk tugas ini.

1. Login ke Konsol Google Admin.

   Login menggunakan akun yang memiliki hak istimewa administrator super (yang tidak diakhiri dengan @gmail.com).

2. Di konsol Admin, buka Menu  KeamananKontrol akses dan dataEnkripsi sisi klien.
3. Di bagian Enkripsi dengan layanan kunci enkripsi eksternal, klik Tetapkan.
4. Di panel kiri, pilih Semua pengguna di akun ini atau unit organisasi tingkat teratas.
5. Klik Layanan kunci enkripsi, lalu pilih layanan kunci enkripsi Anda di menu drop-down.
6. Klik Simpan.

Menetapkan layanan kunci enkripsi yang berbeda untuk pengguna tertentu

Jika beberapa layanan kunci enkripsi telah ditambahkan ke konsol Admin, Anda dapat memilih layanan kunci enkripsi yang berbeda dengan layanan saat ini yang ditetapkan ke unit organisasi atau grup.

Penting: Jika konten sudah dienkripsi dengan layanan kunci enkripsi saat ini, sebaiknya migrasikan konten terenkripsi ke layanan baru untuk memastikan konten terenkripsi sisi klien yang ada tetap dapat diakses. Untuk mengetahui detailnya, buka Memigrasikan konten terenkripsi ke layanan kunci enkripsi baru nanti di halaman ini.

Anda harus login sebagai administrator super untuk tugas ini.

1. Login ke Konsol Google Admin.

   Login menggunakan akun yang memiliki hak istimewa administrator super (yang tidak diakhiri dengan @gmail.com).

2. Di konsol Admin, buka Menu  KeamananKontrol akses dan dataEnkripsi sisi klien.
3. Di bagian Enkripsi dengan layanan kunci enkripsi eksternal, klik Tetapkan.
4. Di panel kiri, pilih unit organisasi atau grup tempat Anda ingin menggunakan layanan kunci enkripsi lainnya.
5. Klik Layanan kunci enkripsi, lalu pilih layanan kunci enkripsi baru di menu drop-down.
6. Klik Ganti guna mempertahankan setelan Anda jika setelan CSE untuk unit organisasi induk diubah.
7. Jika Diganti sudah disetel untuk unit organisasi, pilih salah satu opsi:
   • Warisi—Mengembalikan ke setelan CSE yang sama dengan induknya.
   • Simpan—Menyimpan setelan CSE baru (meskipun jika setelan induk berubah).

Perubahan dapat membutuhkan waktu hingga 24 jam, tetapi biasanya berlangsung lebih cepat. Pelajari lebih lanjut

Memigrasikan konten terenkripsi ke layanan kunci enkripsi baru

Jika tidak ingin lagi menggunakan layanan kunci enkripsi yang ada untuk mengenkripsi konten bagi unit organisasi atau grup, Anda dapat menambahkan layanan baru, memilih layanan cadangan, dan memigrasikan konten terenkripsi ke layanan baru.

Buka bagian  |  Ciutkan semua

Sebelum memulai migrasi

Layanan mana saja yang didukung?

Saat ini, Anda dapat memigrasikan konten terenkripsi untuk layanan berikut:

• Google Drive dan Dokumen
• Google Kalender

Agar dapat beralih ke layanan kunci enkripsi lain untuk Gmail CSE: Anda harus menggunakan Gmail API untuk mengupload sertifikat S/MIME baru menggunakan kunci yang digabungkan oleh layanan kunci enkripsi baru untuk setiap pengguna. Untuk mengetahui detailnya, buka Khusus Gmail: Mengupload kunci enkripsi untuk enkripsi sisi klien.

Google tidak mendekripsi konten

Selama migrasi, Google tidak pernah mendekripsi konten. Layanan baru mengekstrak lapisan enkripsi dari layanan sebelumnya dan menggantinya dengan lapisan enkripsi baru.

Tidak ada dampak terhadap pengguna

Selama migrasi, pengguna dapat terus mengenkripsi atau melihat konten terenkripsi tanpa gangguan. 

Status migrasi tidak tersedia

Status progres dan notifikasi masalah apa pun tidak tersedia.

Menguji migrasi pada sejumlah kecil pengguna terlebih dahulu

Praktik terbaiknya adalah mencoba migrasi pada sejumlah kecil pengguna terlebih dahulu sebelum menjalankan migrasi penuh pada semua konten pengguna. Tetapkan kunci baru hanya ke satu unit organisasi atau grup, lalu aktifkan migrasi untuk pengguna tersebut guna menentukan ada atau tidaknya masalah migrasi.

Setelah migrasi uji coba, cobalah untuk mengenkripsi konten baru dengan layanan kunci enkripsi baru, dan periksa apakah Anda masih dapat mengakses serta mengedit konten yang sebelumnya dienkripsi.

Mengurangi waktu migrasi

Untuk meminimalkan jumlah item baru yang dienkripsi dengan layanan kunci enkripsi saat ini, mulailah migrasi penuh pada waktu tidak sibuk.

Langkah 1: Tambahkan layanan kunci enkripsi baru ke konsol Admin

• Jika saat ini Anda hanya menggunakan satu layanan kunci enkripsi: Tambahkan layanan kunci enkripsi baru dan pilih layanan saat ini sebagai cadangan. Untuk mengetahui detailnya, buka Menambahkan layanan kunci enkripsi eksternal.
• Jika layanan kunci enkripsi yang Anda gunakan saat ini sudah memiliki layanan cadangan: Hapus cadangan dari layanan kunci enkripsi. Untuk mengetahui detailnya, buka Menghapus cadangan dari layanan kunci enkripsi. Kemudian, tambahkan layanan kunci enkripsi baru dan pilih layanan saat ini sebagai cadangan.

  Penting: Jika Anda sedang memigrasikan konten dari cadangan yang perlu dihapus, tunggu hingga migrasi selesai. Setelah Anda menghapus cadangan, migrasi apa pun akan langsung dihentikan. Untuk mengetahui detailnya, buka Langkah 4: Periksa apakah migrasi selesai nanti di halaman ini.

Langkah 2: Ganti layanan kunci enkripsi saat ini dengan layanan kunci enkripsi baru

Setelah menambahkan layanan kunci enkripsi baru, tetapkan layanan kunci enkripsi baru ke unit organisasi atau grup. Untuk mengetahui detailnya, lihat Menetapkan layanan kunci enkripsi untuk enkripsi sisi klien di atas.

Langkah 3: Aktifkan migrasi

Setelah memilih layanan kunci enkripsi baru untuk unit organisasi atau grup, Anda dapat mengaktifkan migrasi jika ada layanan dengan konten terenkripsi sebelumnya yang dapat dimigrasikan.

Waktu migrasi bervariasi, bergantung pada jumlah konten yang dienkripsi dengan layanan kunci enkripsi saat ini dan kecepatan pemrosesan layanan kunci enkripsi baru. Perlu waktu beberapa jam hingga beberapa hari untuk melanjutkan migrasi konten. 

Anda harus login sebagai administrator super untuk tugas ini.

1. Login ke Konsol Google Admin.

   Login menggunakan akun yang memiliki hak istimewa administrator super (yang tidak diakhiri dengan @gmail.com).

2. Di konsol Admin, buka Menu  KeamananKontrol akses dan dataEnkripsi sisi klien.
3. Di bagian Enkripsi dengan layanan kunci enkripsi eksternal, klik Tetapkan.
4. Di panel kiri, pilih unit organisasi atau grup tempat Anda ingin memigrasikan konten ke layanan kunci enkripsi baru.
5. Di bagian Migrasi, klik Aktifkan.

   Catatan: Opsi ini hanya tersedia jika ada layanan dengan konten yang sebelumnya dienkripsikan, yang tercantum di bagian Migrasi.

6. Pada pesan konfirmasi, centang kotak untuk menunjukkan bahwa Anda memahami bahwa migrasi tidak dapat dibatalkan setelah dimulai. Lalu klik Simpan.

Proses migrasi dimulai.

Langkah 4: Periksa apakah migrasi selesai

Anda harus login sebagai administrator super untuk tugas ini.

1. Login ke Konsol Google Admin.

   Login menggunakan akun yang memiliki hak istimewa administrator super (yang tidak diakhiri dengan @gmail.com).

2. Di konsol Admin, buka Menu  KeamananKontrol akses dan dataEnkripsi sisi klien.
3. Di bagian Enkripsi dengan layanan kunci enkripsi eksternal, klik Tetapkan.
4. Di panel kiri, pilih unit organisasi atau grup tempat Anda ingin memigrasikan konten terenkripsi ke layanan kunci enkripsi baru.
5. Di bagian Migrasi, periksa jumlah item yang dienkripsi dengan layanan sebelumnya (sekarang layanan cadangan).

   Jika tidak ada item terenkripsi, migrasi telah selesai.

Langkah 5: (Opsional) Hapus layanan kunci cadangan

Jika migrasi konten selesai, dan Anda tidak ingin lagi menggunakan layanan cadangan, Anda dapat menghapusnya dari layanan kunci enkripsi baru. Untuk mengetahui detailnya, buka Menghapus cadangan dari layanan kunci enkripsi.

Menetapkan enkripsi dengan kunci hardware (khusus Gmail)

Jika Anda menyiapkan enkripsi kunci hardware bagi semua atau beberapa pengguna di organisasi untuk mengenkripsi Gmail, Anda perlu menetapkannya ke pengguna tersebut.

Jika Anda juga menggunakan layanan kunci enkripsi untuk Gmail: Anda dapat menetapkan enkripsi kunci hardware ke pengguna yang sama dengan layanan kunci enkripsi. Namun, pengguna tersebut akan mengenkripsi Gmail menggunakan layanan kunci enkripsi atau kunci hardware, bergantung pada cara Anda menyiapkan kunci enkripsi mereka untuk Gmail. Untuk mengetahui detailnya, buka Khusus Gmail: Menyiapkan Gmail API untuk enkripsi sisi klien.

Anda harus login sebagai administrator super untuk tugas ini.

1. Login ke Konsol Google Admin.

   Login menggunakan akun yang memiliki hak istimewa administrator super (yang tidak diakhiri dengan @gmail.com).

2. Di konsol Admin, buka Menu  KeamananKontrol akses dan dataEnkripsi sisi klien.
3. Di bagian Enkripsi dengan kunci hardware, klik Tetapkan.
4. Di panel kiri, pilih unit organisasi atau grup tempat Anda ingin menggunakan layanan kunci enkripsi lainnya.
5. Klik Enkripsi kunci hardware, lalu centang kotaknya.
6. Jika Anda memilih unit organisasi turunan, klik Ganti untuk mempertahankan setelan jika setelan CSE untuk unit organisasi induk diubah.
7. Jika Diganti sudah disetel untuk unit organisasi, pilih salah satu opsi:
   • Warisi—Mengembalikan ke setelan CSE yang sama dengan induknya.
   • Simpan—Menyimpan setelan CSE baru (meskipun jika setelan induk berubah).

Perubahan dapat membutuhkan waktu hingga 24 jam, tetapi biasanya berlangsung lebih cepat. Pelajari lebih lanjut