Gmail のみ: ハードウェア キー暗号化を設定して管理する

サポート対象エディション: Enterprise Plus、Education Standard、Education Plus。  エディションの比較

Requires having the Assured Controls add-on.

施設やシステムの利用を個人認証（PIV）カードなどのスマートカードで管理している組織では、暗号鍵サービスの代わりにハードウェア キー暗号化を使って Gmail のクライアントサイド暗号化（CSE）を実現できます。

ハードウェア キー暗号化を使用する場合、ユーザーの秘密鍵は各自のスマートカードに格納されます。Gmail でメールの署名と復号を行うには、Windows デバイスに接続されたカードリーダーにスマートカードを挿入する必要があります。メールを暗号化するには、公開鍵を使用します。

設定の概要

ハードウェア キー暗号化を設定するには、次の手順を踏む必要があります。

1. メールを暗号化する必要がある各ユーザーの Windows デバイスに Google Workspace Hardware Keys アプリケーションをインストールします。このアプリは、特定のポートで実行されるサービスとして開始され、ユーザーのスマートカードと連携して暗号化と復号を処理します。
2. Google Workspace がユーザーの Windows デバイスの Hardware Keys アプリと通信するためのポート番号を管理コンソールで入力し、ハードウェア キー暗号化を有効にします。

これらの操作が完了したら、ユーザーにハードウェア キー暗号化を割り当てて、Gmail に対して CSE を有効にできます。

設定要件

ユーザーのデバイスが以下の条件を満たしている必要があります。

• Microsoft Windows 10 以降が搭載されている
• デバイスにスマートカード リーダーが接続されている
• 秘密暗号鍵が設定されたスマートカードが挿入されている

ステップ 1: Google Workspace Hardware Keys アプリケーションをインストールする

Google Workspace Hardware Keys アプリを使用して、Gmail のクライアントサイド暗号化用にハードウェア キー暗号化を設定できます。これにより、ユーザーは PIV カードなどのスマートカードに格納された秘密鍵を使用して、メールの署名と暗号化を行えるようになります。

Hardware Keys アプリのインストール手順にアクセスするには、Assured Controls アドオンが必要です。Assured Controls を組織のアカウントに追加する方法については、テクニカル アカウント マネージャーにお問い合わせください。

ステップ 2: ハードウェア キー暗号化を有効にする

ユーザーの Windows デバイスに Google Workspace Hardware Keys アプリケーションをインストールしたら、管理コンソールでハードウェア キー暗号化を有効にできます。

始める前に: Hardware Keys アプリのインストール時に選択したポート番号があることを確認してください。

ハードウェア キーによる暗号化をオンにするには:

この操作を行うには、特権管理者としてログインする必要があります。

1. Google 管理コンソールにログインします。

   特権管理者権限のあるアカウント（末尾が @gmail.com でないもの）でログインしてください。

2. 管理コンソールで、メニュー アイコン   [セキュリティ] [アクセスとデータ管理] [クライアントサイドの暗号化] にアクセスします。
3. [ハードウェア キーによる暗号化] で、[ポート番号の追加] をクリックします。
4. Hardware Keys アプリのインストール時に選択したポート番号を入力します。

5. [保存] をクリックします。

次のステップ

Google Workspace Hardware Keys アプリケーションをインストールし、管理コンソールでハードウェア キー暗号化を有効にしたら、次の操作を行う必要があります。

• ユーザーにハードウェア キー暗号化を割り当てます。詳しくは、ユーザーにクライアントサイド暗号化を割り当てるをご覧ください。
• ご利用の ID プロバイダ（IdP）を接続します。詳しくは、クライアントサイド暗号化で使用する ID プロバイダに接続するをご覧ください。
• Gmail API を有効にし、ユーザーの暗号化証明書を Gmail にアップロードします。詳しくは、Gmail のみ: クライアントサイド暗号化で使用する暗号鍵をアップロードするをご覧ください。

ハードウェア キー暗号化を管理する

ハードウェア キー暗号化用のポート番号を変更する

Google Workspace とユーザーの Windows デバイスに接続されたスマートカード リーダーとの通信に使用するポート番号を変更した場合は、ユーザーが引き続き Gmail CSE を使用できるように、管理コンソールでポート番号を更新する必要があります。

ハードウェア キー暗号化用のポート番号を更新するには:

この操作を行うには、特権管理者としてログインする必要があります。

1. Google 管理コンソールにログインします。

   特権管理者権限のあるアカウント（末尾が @gmail.com でないもの）でログインしてください。

2. 管理コンソールで、メニュー アイコン   [セキュリティ] [アクセスとデータ管理] [クライアントサイドの暗号化] にアクセスします。
3. [ハードウェア キーによる暗号化] で [編集] をクリックします。
4. 新しいポート番号を入力します。

5. [保存] をクリックします。

ユーザーが新しいスマートカードを必要としている場合

• ユーザーの新しいスマートカードに以前のカードと同じ暗号鍵が格納されている場合は、そのまま新しいカードを使用できます。
• ユーザーの新しいスマートカードに新しい暗号鍵が格納されている場合は、Gmail API を使用して新しい公開鍵証明書を Gmail にアップロードする必要があります。詳しくは、Gmail のみ: クライアントサイド暗号化で使用する暗号鍵をアップロードするをご覧ください。