Als Administrator können Sie mit der Erweiterung „Zertifikatregistrierung für ChromeOS“ Nutzern ermöglichen, manuell oder automatisch ein Nutzer- oder Gerätezertifikat zu erhalten. Sie können auch die automatische Verlängerung vorhandener, ablaufender Zertifikate einrichten.
Prüfen Sie vor der Verwendung der Erweiterung, ob Nutzer Zugriff haben und ob die Erweiterung und die verknüpfte verwaltete Richtlinie richtig konfiguriert sind. Weitere Informationen zum Einrichten der Erweiterung finden Sie im Abschnitt Bereitstellungsleitfaden für die Erweiterung.
Arten von Zertifikatsanfragen
Es gibt zwei Arten von Zertifikatsanfragen: Nutzer- und Gerätezertifikatsanfragen.
- Bei Nutzerzertifikatsanfragen wird ein Zertifikat für den jeweiligen Nutzer ausgestellt, nicht für das gesamte Gerät. Nutzerzertifikate sind nur für den auf diesem Gerät angemeldeten Nutzer gültig, nicht für andere, die das Gerät möglicherweise ebenfalls verwenden.
- Bei Gerätezertifikatsanfragen wird ein Zertifikat für das gesamte Gerät ausgestellt, das die Anfrage sendet – nicht nur für den anfragenden Nutzer. Gerätezertifikate sind für alle Nutzer gültig, die zur selben Organisation auf dem Gerät gehören. Solche Zertifikate sind typischerweise für Geräte nötig, die im Modus für verwaltete Gastsitzungen oder im Kioskmodus verwendet werden.
Zertifikatsbereitstellung ohne vom Nutzer eingegebene Anmeldedaten
Sie können die Erweiterung für die Zertifikatregistrierung so konfigurieren, dass ein Zertifikat automatisch bereitgestellt oder verlängert wird, ohne dass der Nutzer Anmeldedaten manuell eingeben muss.
Wenn Sie eine der neuen Optionen für die Bereitstellung oder Verlängerung konfigurieren, erkennt die Erweiterung automatisch, wenn auf einem Gerät noch kein Zertifikat bereitgestellt wurde oder ein Zertifikat bald abläuft. Das führt dazu, dass der Nutzer aufgefordert wird, ein Zertifikat anzufordern oder zu verlängern. Der Nutzer muss auf die Benachrichtigung klicken und das Zertifikat wird dann durch die Erweiterung abgerufen oder verlängert. Weitere Informationen finden Sie im Abschnitt Bereitstellungsleitfaden für die Erweiterung.
Zertifikate registrierenFür die automatische Registrierung eines vorkonfigurierten Zertifikats muss der Nutzer Folgendes tun:
- Klicken Sie auf die Benachrichtigung Zertifikat registrieren.
- Optional: Klicken Sie das Kästchen Geräteübergreifendes Zertifikat registrieren an, um ein Gerätezertifikat anzufordern. Wenn das Kästchen nicht angeklickt ist, wird ein Nutzerzertifikat angefordert.
- Klicken Sie auf Registrieren.
Der Nutzer muss einfach auf die Benachrichtigung Erinnerung: Zertifikat erneuern klicken, um ein Zertifikat zu verlängern.
Zertifikatsbereitstellung mit vom Nutzer eingegebenen Anmeldedaten
Die Erweiterung für die Zertifikatregistrierung lässt sich so konfigurieren, dass Nutzer ein Zertifikat manuell bereitstellen können.
Primäre Abläufe für Nutzer
Die Abläufe in der Erweiterung werden in die Kategorien primär und sekundär unterteilt. Der primäre Ablauf, der in diesem Abschnitt beschrieben wird, ist der, den Nutzer typischerweise erwarten sollten.
Nutzerzertifikatsanfrage erstellenBei Nutzerzertifikatsanfragen soll ein Zertifikat für den jeweiligen Nutzer ausgestellt werden, nicht für das gesamte Gerät. Nutzerzertifikate sind nur für den auf diesem Gerät angemeldeten Nutzer gültig, nicht für andere, die das Gerät möglicherweise ebenfalls verwenden.
- Klicken Sie auf das Feld „Nutzername“ oder gehen Sie per Tab dorthin.
- Geben Sie Ihren Nutzernamen ein.
- Klicken Sie auf das Feld „Passwort“ oder gehen Sie per Tab dorthin.
- Geben Sie Ihr Passwort ein.
- Klicken Sie das Kästchen „Geräteübergreifend“ nicht an.
Bei Gerätezertifikatsanfragen soll ein Zertifikat für das gesamte Gerät ausgestellt werden, das die Anfrage sendet – nicht nur für den anfragenden Nutzer. Gerätezertifikate sind für alle Nutzer gültig, die zur selben Organisation auf dem Gerät gehören. Solche Zertifikate sind typischerweise für Geräte nötig, die im Modus „Öffentliche Sitzung“ oder im Kioskmodus verwendet werden.
- Klicken Sie auf das Feld „Nutzername“ oder gehen Sie per Tab dorthin.
- Geben Sie Ihren Nutzernamen ein.
- Klicken Sie auf das Feld „Passwort“ oder gehen Sie per Tab dorthin.
- Geben Sie Ihr Passwort ein.
- Klicken Sie das Kästchen „Geräteübergreifend“ an.
Ob Nutzer- oder Gerätezertifikatsanfrage – das Senden von Anfragen funktioniert gleich.
- Erstellen Sie wie oben beschrieben eine Nutzer- oder Gerätezertifikatsanfrage.
- Gehen Sie zur Schaltfläche „Registrieren“.
- Klicken Sie auf Registrieren.
Nachdem eine Anfrage gesendet wurde, sollte der Server im Idealfall eine erfolgreiche Antwort zurückgeben, die das angeforderte Zertifikat enthält.
- Senden Sie wie oben beschrieben eine Zertifikatsanfrage.
- Warten Sie, bis die Antwort eingegangen ist.
- Nach dem Eingang der Antwort wird in einem Dialogfeld bestätigt, dass das Zertifikat empfangen und importiert wurde.
- Wählen Sie im Dialogfeld „OK“ aus, drücken Sie die Esc-Taste oder klicken Sie auf eine Stelle außerhalb des Dialogfelds, um es zu schließen.
Manchmal treten bei Anfragen aus verschiedenen Gründen Fehler auf. Der Nutzer wird mit einer Fehlerantwort über die Fehler informiert.
- Senden Sie wie oben beschrieben eine Zertifikatsanfrage.
- Warten Sie, bis die Antwort eingegangen ist.
- Nach dem Eingang der Antwort werden Sie in einem Dialogfeld über den Fehler informiert.
- Wählen Sie im Dialogfeld „OK“ aus, drücken Sie die Esc-Taste oder klicken Sie auf eine Stelle außerhalb des Dialogfelds, um es zu schließen.
- Wenn der Fehler behoben werden kann, z. B. bei einem ungültigen Nutzernamen, sollte die Korrektur ausgeführt und die Anfrage noch einmal gesendet werden. Ist das nicht möglich, z. B. wenn der Zugriff vom Server verweigert wird, sollte der Nutzer Hilfe anfordern.
Sekundäre Abläufe für Nutzer
Die unten beschriebenen sekundären Abläufe für Nutzer sollten nur selten vorkommen.
Anfrage auf „Ausstehend“ gesetztNachdem eine Anfrage gesendet wurde, kann es vorkommen, dass der Server die Anfrage auf „Ausstehend“ setzt, damit sie jemand später manuell prüfen und genehmigen bzw. ablehnen kann. Der Nutzer wird mit einer entsprechenden Antwort über diesen Ablauf informiert und gebeten, den Status der Anfrage später zu prüfen.
- Senden Sie wie oben beschrieben eine Zertifikatsanfrage.
- Warten Sie, bis die Antwort eingegangen ist.
- Nach dem Eingang der Antwort werden Sie in einem Dialogfeld darüber informiert, dass die Anfrage auf „Ausstehend“ gesetzt wurde. Außerdem werden der zugehörige Registrierungs-URI und die Anfrage-ID angezeigt, die nötig sind, um die Anfrage später zu prüfen.
- Kopieren und speichern Sie den Registrierungs-URI und die Anfrage-ID für später.
- Wählen Sie im Dialogfeld „OK“ aus, drücken Sie die Esc-Taste oder klicken Sie auf eine Stelle außerhalb des Dialogfelds, um es zu schließen.
Wenn für einen Nutzer ein Zertifikat aussteht, sollte der Nutzer den Status des Zertifikats zu einem späteren Zeitpunkt prüfen. Um Anfragen für ausstehende Zertifikate zu erstellen und zu senden, muss der Nutzer die Oberfläche für ausstehende Anfragen aufrufen.
- Klicken Sie auf die Schaltfläche „Weitere Optionen“ oder gehen Sie per Tab dorthin.
- Klicken Sie in der Liste der generierten Optionen auf „Sollen Felder angezeigt werden, die nur beim Überprüfen ausstehender Anfragen relevant sind?“ oder gehen Sie per Tab dorthin.
- Wählen Sie die Option „Sollen Felder angezeigt werden, die nur beim Überprüfen ausstehender Anfragen relevant sind?“ aus, damit die entsprechenden Felder angezeigt werden.
Nutzer können von der Oberfläche für ausstehende Anfragen wieder zurück zur Standardoberfläche wechseln.
- Klicken Sie auf die Schaltfläche „Weitere Optionen“ oder gehen Sie per Tab dorthin.
- Klicken Sie in der Liste der generierten Optionen auf „Sollen Felder ausgeblendet werden, die nur beim Überprüfen ausstehender Anfragen relevant sind?“ oder gehen Sie per Tab dorthin.
- Wählen Sie die Option „Sollen Felder ausgeblendet werden, die nur beim Überprüfen ausstehender Anfragen relevant sind?“ aus, damit die entsprechenden Felder ausgeblendet werden.
Wenn für einen Nutzer ein Zertifikat aussteht, sollte der Nutzer den Status des Zertifikats zu einem späteren Zeitpunkt prüfen. Das funktioniert über die Erweiterung in etwa so wie die Erstellung einer neuen Anfrage.
- Gehen Sie wie oben beschrieben zur Oberfläche für ausstehende Anfragen.
- Klicken Sie auf das Feld „Nutzername“ oder gehen Sie per Tab dorthin.
- Geben Sie Ihren Nutzernamen ein.
- Klicken Sie auf das Feld „Passwort“ oder gehen Sie per Tab dorthin.
- Geben Sie Ihr Passwort ein.
- Klicken Sie auf das Feld „Registrierungs-URI“ oder gehen Sie per Tab dorthin.
- Geben Sie den Registrierungs-URI aus der zuvor erhaltenen Antwort bezüglich des ausstehenden Zertifikats ein.
- Klicken Sie auf das Feld „Anfrage-ID“ oder gehen Sie per Tab dorthin.
- Geben Sie die Anfrage-ID aus der zuvor erhaltenen Antwort bezüglich des ausstehenden Zertifikats ein.
- Wenn ursprünglich ein geräteübergreifendes Zertifikat angefordert wurde, klicken Sie das Kästchen „Geräteübergreifend“ an. Klicken Sie das Kästchen „Geräteübergreifend“ andernfalls nicht an.
Nachdem eine Anfrage zur Prüfung eines ausstehenden Zertifikats erstellt wurde, muss der Nutzer diese Anfrage senden, um eine Antwort zu erhalten. Das Ergebnis einer solchen Anfrage kann wie in den oben beschriebenen Abläufen erfolgreich sein oder zu Fehlern oder dem Setzen auf „Ausstehend“ führen.
- Erstellen Sie wie oben beschrieben eine Anfrage zur Prüfung eines ausstehenden Zertifikats.
- Gehen Sie zur Schaltfläche „Status prüfen“.
- Klicken Sie auf die Schaltfläche „Status prüfen“.
Bei Fehlern kann es für einen Assistenten oder Administrator hilfreich sein, sich die vollständigen Protokolle der Vorgänge anzusehen. Der Nutzer kann die Protokolle wie unten beschrieben in die Zwischenablage kopieren.
- Klicken Sie auf die Schaltfläche „Weitere Optionen“ oder gehen Sie per Tab dorthin.
- Klicken Sie in der Liste der generierten Optionen auf „Protokolle in Zwischenablage kopieren“ oder gehen Sie per Tab dorthin.
- Wählen Sie „Protokolle in Zwischenablage kopieren“ aus, um die Protokolle in die Zwischenablage des Nutzers zu kopieren.
- Nun kann der Nutzer die Protokolle an der gewünschten Stelle einfügen.
Bereitstellungsleitfaden für die Erweiterung
Gilt nur für verwaltete Chromebooks.
Als Administrator können Sie Chromebook-Nutzern Zugriff auf die geschützten Netzwerke und internen Ressourcen Ihrer Organisation gewähren, für die ein Zertifikat zur Authentifizierung erforderlich ist. Installieren und konfigurieren Sie per Remotezugriff die Erweiterung „Zertifikatregistrierung für ChromeOS“, damit Nutzer- oder Systemzertifikate auf Chromebooks angefordert werden können.
Alternativ können Sie die automatische Zertifikatbereitstellung mithilfe der Kerberos-Authentifizierung für Nutzer- oder Gerätezertifikate oder die gehostete Dienstkontoauthentifizierung für Gerätezertifikate einrichten. Sie können die Erweiterung auch so konfigurieren, dass bestehende Zertifikate ohne zusätzliche Authentifizierung mit schlüsselbasierter Verlängerung verlängert werden.
Mit der Erweiterung können Sie außerdem die Einführung von ChromeOS-Geräten skalieren, indem Sie die Registrierung von Microsoft Active Directory-Zertifikaten über die Admin-Konsole automatisieren.
Hinweise
Damit Nutzer digitale Zertifikate anfordern können, benötigen Sie Folgendes:
- Microsoft Windows Server 2008 R2 oder höher
- Microsoft Internet Information Services (IIS) 7.0 oder höher
- Active Directory Certificate Services (ADCS), einschließlich:
- Dienst für die Zertifikatregistrierung (Certificate Enrollment Service, CES)
- Richtlinien für die Zertifikatregistrierung (Certificate Enrollment Policy, CEP)
- Ein gültiges Zertifikat, das mit der ADCS-Website in IIS verknüpft ist
- Einen sichtbaren Endpunkt für CEP und CES
Haftungsausschluss
Dieser Leitfaden erläutert die Funktionsweise von Google-Produkten mit Produkten von Drittanbietern sowie die von Google empfohlenen Konfigurationen. Google bietet keinen technischen Support beim Konfigurieren von Produkten von Drittanbietern. Google übernimmt keine Verantwortung für Produkte von Drittanbietern. Die aktuellen Konfigurations- und Supportinformationen finden Sie auf der Website zum jeweiligen Produkt.
Erweiterung bereitstellen
Schritt 1: Erzwungene Installation der Erweiterung durchführen-
Melden Sie sich in der Google Admin-Konsole an.
Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.
-
Öffnen Sie in der Admin-Konsole das Dreistrich-Menü
Geräte
Chrome
Wenn Sie sich für die Chrome-Verwaltung über die Cloud registriert haben, klicken Sie auf das Dreistrich-Menü
Chrome-Browser
- Wenn die Einstellung für alle Nutzer gelten soll, verwenden Sie die oberste Organisationseinheit (bereits ausgewählt). Wählen Sie andernfalls eine untergeordnete Organisationseinheit aus.
- Bewegen Sie den Mauszeiger auf „Hinzufügen“
Aus dem Chrome Web Store hinzufügen.
- Suchen Sie nach der Erweiterung Zertifikatregistrierung für ChromeOS und wählen Sie sie aus. Die Erweiterungs-ID lautet „fhndealchbngfhdoncgcokameljahhog“.
- Wählen Sie auf der Seite Nutzer und Browser die Erweiterung Zertifikatregistrierung für ChromeOS aus.
- Aktivieren Sie im Steuerfeld rechts unter Zertifikatsverwaltung die Option Zugriff auf Schlüssel zulassen.
- Wählen Sie unter Installationsrichtlinien die Option Installation erzwingen oder Installation erzwingen und Anpinnen an ChromeOS-Taskleiste aus.
- Klicken Sie auf Speichern.
Aus dem Chrome Web Store hinzufügen.Erstellen Sie eine Datei mit den Einstellungen, die Sie auf die Erweiterung „Zertifikatregistrierung für ChromeOS“ für Nutzer anwenden möchten. Verwenden Sie diese Beispieldatei als Vorlage und ändern Sie die Richtlinien entsprechend den Anforderungen Ihrer Organisation oder der Nutzer. Sie können die JSON-Datei (JavaScript Object Notation) mit einem Texteditor bearbeiten.
Hinweis: Richtlinien, die Standardwerte in Strings enthalten, die für Nutzer sichtbar sind, werden übersetzt und in der entsprechenden Sprache des Nutzers auf den Geräten angezeigt. Sie können die Strings zwar für Ihre Organisation anpassen, aber sie werden dann nicht übersetzt.
Sie können die folgenden Richtlinien festlegen:
| Richtlinienname | Funktion |
|---|---|
|
allow_machine_cert_enrollment |
Ermöglicht Nutzern, ein Systemzertifikat zu installieren. Ist die Einstellung auf „wahr“ gesetzt, können Nutzer ein System- oder Nutzerzertifikat anfordern. Andernfalls lässt sich nur ein Nutzerzertifikat anfordern. Der Standardwert lautet „falsch“. |
|
cep_proxy_url |
Gibt den HTTPS-Endpunkt für die CEP an. So rufen Sie den Endpunkt ab:
Gültig sind nur Werte, die mit HTTPS beginnen. Wird ein mit HTTPS beginnender Wert eingegeben, der nicht mit dem URI (Uniform Resource Identifier) im IIS-Manager übereinstimmt, wird dieser zwar als gültig angesehen und verwendet, aber es treten höchstwahrscheinlich Fehler auf. Diese Richtlinie ist obligatorisch. |
|
company_info |
Gibt die Informationen Ihrer Organisation an, z. B. Name und Logo.
|
|
device_cert_request_values |
Gibt die Werte an, die in der Anfrage für die Zertifikatsunterzeichnung (Certificate Signing Request, CSR) für ein Gerätezertifikat verwendet werden sollen. Sie können Werte auf Grundlage von Nutzer- und Geräteattributen festlegen, anstatt die Eigenschaften des Anfragenden zu verwenden. Wenn Sie die benutzerdefinierte CSR verwenden möchten, sollten Sie auch die Zertifikatvorlage gemäß der erwarteten Zertifizierungsstelle konfigurieren und ein Zertifikat mit den in der Anfrage definierten Werten erstellen. Dafür müssen Sie mindestens einen Wert für den Sie können die folgenden Platzhalter verwenden. Alle Werte sind optional. Für ChromeOS-Geräte mit Version 66 und höher können Sie Folgendes verwenden:
Wenn kein Platzhalterwert verfügbar ist, wird ein leerer String eingefügt. Sie können Platzhalter auch verketten. |
|
device_enrollment_templates |
Liste übereinstimmender Namen von Zertifikatvorlagen, die nach Priorität geordnet sind und für den Ablauf bei der Nutzerregistrierung verwendet werden. In der Liste wird nach einer passenden Zertifikatvorlage gesucht. Die erste übereinstimmende Zertifikatvorlage wird dann verwendet. Wenn dabei ein Fehler auftritt, werden keine weiteren Zertifikatvorlagen ausprobiert. Diese Richtlinie ist obligatorisch. Dazu muss mindestens ein Wert in der Liste vorhanden sein. Verwenden Sie in der Zertifizierungsstelle "Microsoft Management Console" (MMC) den Namen der Vorlage, nicht den Anzeigenamen. Der Standardwert ist ChromeOSWirelessUser. |
|
enable_auto_enrollment |
Steuert, ob die Erweiterung automatisch die Registrierung startet. Ist die Einstellung auf „falsch“ gesetzt, wird darauf gewartet, dass der Nutzer versucht, eine Verbindung zum EAP-TLS-Netzwerk herzustellen. Der Standardwert lautet „falsch“. |
| log_level |
Gibt die Detailebene in den Protokollen der Erweiterung an, die an die JavaScript-Konsole in Chrome gesendet werden. NONE (Keine, Standardeinstellung): In der Konsole werden keine Ereignisse protokolliert. ERROR (Fehler): Nur deutlich erkennbare Fehler werden in der Konsole protokolliert. WARNING (Warnung): Deutlich erkennbare Fehler und Warnungen werden in der Konsole protokolliert. INFO (Information): Deutlich erkennbare Fehler und Warnungen sowie entsprechende Informationen zu notwendigen Maßnahmen werden in der Konsole protokolliert. DEBUG (Fehlerbehebung): Alle Ereignisse werden in der Konsole protokolliert. Diese Ebene wird für die anfängliche Version empfohlen, um mögliche Probleme zu beheben. Unter Weitere Optionen können Sie alle Protokolle automatisch in die Zwischenablage kopieren. Es gibt zwei Möglichkeiten für Nutzer, die Webentwicklerkonsole in Chrome zu öffnen, um auf die Chrome-Protokolle auf ihrem Gerät zuzugreifen:
Diese Richtlinie ist obligatorisch. |
| placeholder_values |
Gibt den Nutzernamen, das Passwort, den URI, die Anfrage-ID und die Header-Platzhalter an. Diese Informationen helfen Nutzern bei der Anmeldung.
|
| renew_hours_before_expiry |
Informiert Nutzer über den Zeitraum (in Stunden) bis zum Ablaufen des Zertifikats.
Der Standardwert ist 120. |
| renew_reminder_interval |
Steuert das Intervall (in Stunden) vor Ablauf des Zertifikats, nach dem Nutzer erneut benachrichtigt werden. Wenn der Nutzer nach der ersten Benachrichtigung das Zertifikat nicht verlängert und Erinnerungen nicht ausgeschaltet hat, werden nach Ablauf der festgelegten Stundenzahl weitere Benachrichtigungen angezeigt. Wenn Sie beispielsweise "renew_hours_before_expiry" auf 120 und "renew_reminder_interval" auf 24 setzen und der Nutzer immer auswählt, dass er weitere Erinnerungen erhalten möchte, wird er jeweils einmal täglich fünf Tage lang benachrichtigt, bis das Zertifikat abläuft. Der Standardwert ist 24. |
|
request_timeout_seconds |
Die Zeitspanne in Sekunden, bevor eine Anfrage an CEP oder CES abläuft. Der Standardwert ist 20. |
|
signature_algo |
Legt fest, welchen Signatur-Algorithmus die Erweiterung zur Signierung von Zertifikatanfragen verwendet. Folgende Optionen sind verfügbar:
|
|
user_cert_request_values |
Gibt die Werte an, die in der Anfrage zur Zertifikatsignierung (Certificate Signing Request, CSR) für ein Nutzerzertifikat verwendet werden. Sie können Werte auf Grundlage von Nutzer- und Geräteattributen festlegen, anstatt die Eigenschaften des Anfragenden zu verwenden. Wenn Sie die benutzerdefinierte CSR verwenden möchten, sollten Sie auch die Zertifikatvorlage gemäß der erwarteten Zertifizierungsstelle konfigurieren und ein Zertifikat mit den in der Anfrage definierten Werten erstellen. Dafür müssen Sie mindestens einen Wert für den Sie können die folgenden Platzhalter verwenden. Alle Werte sind optional.
Wenn kein Platzhalterwert verfügbar ist, wird ein leerer String eingefügt. Sie können Platzhalter auch verketten. |
|
user_enrollment_templates |
Liste übereinstimmender Namen von Zertifikatvorlagen, die nach Priorität geordnet sind und für den Ablauf bei der Nutzerregistrierung verwendet werden. In der Liste wird nach einer passenden Zertifikatvorlage gesucht. Die erste übereinstimmende Zertifikatvorlage wird dann verwendet. Wenn dabei ein Fehler auftritt, werden keine weiteren Zertifikatvorlagen ausprobiert. Diese Richtlinie ist obligatorisch. Dazu muss mindestens ein Wert in der Liste vorhanden sein. Verwenden Sie in der MMC-Zertifizierungsstelle den Namen der Vorlage, nicht den Anzeigenamen der Vorlage. Der Standardwert ist ChromeOSWirelessUser. |
Zertifikatbereitstellung mit oder ohne Anmeldedaten des Nutzers konfigurieren
Die Erweiterung für die Zertifikatregistrierung ist standardmäßig so eingerichtet, dass Nutzer manuell ein Zertifikat bereitstellen. Dafür geben sie ihre Anmeldedaten ein, wenn sie ein Zertifikat abrufen möchten.
Mit der ChromeOS-Erweiterung sorgen Sie dafür, dass Nutzer Zertifikate automatisch bereitstellen oder verlängern können, ohne ihre Anmeldedaten manuell eingeben zu müssen. Die Erweiterung kann Nutzer- und Gerätezertifikate mit Kerberos-Authentifizierung anfordern, wenn auf dem Gerät ein Kerberos-Ticket für den Nutzer verfügbar ist. Es können auch Gerätezertifikate nur über ein Dienstkonto angefordert werden.
Kerberos-Authentifizierung
Hinweise
- Der ChromeOS-Nutzer muss ein Kerberos-Ticket auf dem Gerät haben.
- Der Kerberos-Anmeldedatenmanager muss über eine Richtlinie so konfiguriert werden, dass ein Kerberos-Ticket für den angemeldeten Nutzer abgerufen werden kann. Vorzugsweise ist das so konfiguriert, dass es automatisch bei der Anmeldung geschieht. Weitere Informationen finden Sie unter Kerberos-Einmalanmeldung für ChromeOS-Geräte konfigurieren.
- Das mit dem Kerberos-Ticket verknüpfte Active Directory-Nutzerkonto muss berechtigt sein, Zertifikate mit der konfigurierten Zertifikatvorlage anzufordern.
- Der Registrierungsendpunkt muss in der ChromeOS-Richtlinie Integrierte Authentifizierungsserver aufgeführt sein. Weitere Informationen zu dieser Richtlinie finden Sie in der Liste der Chrome-Richtlinien.
- Legen Sie die Einstellung Integrierte Authentifizierungsserver in der Admin-Konsole richtig fest. Weitere Informationen finden Sie unter Integrierte Authentifizierungsserver.
Erweiterung konfigurieren
Legen Sie den Richtlinienwert `client_authentication` der Erweiterung auf `kerberos` fest.
Authentifizierung des gehosteten Dienstkontos
Sie können in der Erweiterung festlegen, dass ein Gerätezertifikat mit einem Dienstkonto angefordert wird. Die Anmeldedaten für das Dienstkonto werden auf einem Webserver in Ihrem lokalen Netzwerk gehostet.
Warnung: Erhält ein Angreifer Zugriff auf den Webserver, auf dem die Anmeldedaten und die Erweiterungsrichtlinie auf dem Gerät gehostet werden, kann er die Anmeldedaten des Dienstkontos extrahieren.
Wir empfehlen, den Zugriff auf den Webserver, auf dem die Anmeldedaten des Dienstkontos gehostet werden, auf ein Bereitstellungsnetzwerk zu beschränken, das nur für die anfängliche ChromeOS-Gerätebereitstellung verwendet wird.
Hinweise
- Sie benötigen einen Webserver im lokalen Netzwerk, der HTTPS-Anfragen verarbeiten kann.
- ChromeOS muss das Zertifikat dieses Webservers als vertrauenswürdig einstufen. Verwendet der Webserver ein Zertifikat, das von einer selbst signierten Zertifizierungsstelle ausgestellt wurde, können Sie das Zertifikat der Zertifizierungsstelle in der Admin-Konsole als vertrauenswürdig konfigurieren.
Schritt 1: Maskiertes Passwort generieren
- Öffnen Sie die Erweiterung.
- Wählen Sie More
- Geben Sie das Passwort für das Dienstkonto ein.
- Wählen Sie Mask (Maske) aus.
- Kopieren Sie die Maske und das maskierte Passwort in eine Textdatei.
Schritt 2: Anmeldedaten auf dem internen Webserver speichern
- Konfigurieren Sie den Webserver so, dass eine JSON-Datei bereitgestellt wird, die Folgendes enthält:
{
‘username’: ‘<Nutzername des Dienstkontos>’,
‘maskedPassword’: ‘<kopiertes und eingefügtes maskiertes Passwort>’
}
- Kopieren Sie die URL, die der Webserver zum Hosten der Anmeldedaten verwendet, in eine Textdatei.
Schritt 3: Erweiterungsrichtlinien konfigurieren
- Legen Sie für die Richtlinienvariable
'service_account_host'der Erweiterung die oben kopierte URL fest. - Legen Sie für die Richtlinienvariable
'service_account_host_password_mask'der Erweiterung die oben kopierte Maske fest.
Automatische Zertifikatverlängerung
Sie können die Erweiterung so konfigurieren, dass bestehende Zertifikate ohne zusätzliche Authentifizierung mit schlüsselbasierter Verlängerung verlängert werden.
Hinweise
Ein Endpunkt für den ADCS-Dienst für die Zertifikatregistrierung (Certificate Enrollment Service, CES), der die schlüsselbasierte Verlängerung für die konfigurierte Zertifikatvorlage unterstützt, muss verfügbar sein. Weitere Informationen finden Sie in der Microsoft-Dokumentation im Artikel zur Konfiguration eines Webdiensts für die Zertifikatregistrierung für die schlüsselbasierte Verlängerung auf einem benutzerdefinierten Port.
Erweiterung konfigurieren
- Setzen Sie den Richtlinienwert
`use_key_based_renewal`der Erweiterung auf true. - Legen Sie für den Richtlinienwert
‘ces_renewal_url’der Erweiterung die URL des CES-Endpunkts fest, der die schlüsselbasierte Verlängerung unterstützt.
-
Melden Sie sich in der Google Admin-Konsole an.
Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.
-
Öffnen Sie in der Admin-Konsole das Dreistrich-Menü
Wenn Sie sich für die Chrome-Verwaltung über die Cloud registriert haben, klicken Sie auf das Dreistrich-Menü
- Nur Nutzer: So wenden Sie die Einstellung auf eine Gruppe an:
- Wählen Sie Gruppen aus.
- Wählen Sie die Gruppe aus, für die die Einstellung gelten soll.
- Wenn die Einstellung für alle Nutzer gelten soll, verwenden Sie die oberste Organisationseinheit (bereits ausgewählt). Wählen Sie andernfalls eine untergeordnete Organisationseinheit aus.
- Suchen Sie nach der Erweiterung Zertifikatregistrierung für ChromeOS und wählen Sie sie aus.
- Geben Sie im Steuerfeld rechts unter Richtlinie für Erweiterungen in das Textfeld die JSON-Daten ein, die Sie in Schritt 2 erstellt haben.
- Wählen Sie unter Installationsrichtlinien die Option Installation erzwingen oder Installation erzwingen und Anpinnen an ChromeOS-Taskleiste aus.
- Klicken Sie auf Speichern.
-
Melden Sie sich in der Google Admin-Konsole an.
Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.
-
Gehen Sie in der Admin-Konsole zu „Menü“
- Klicken Sie auf WLAN.
- Fügen Sie ein neues EAP-TLS-Netzwerk hinzu.
Weitere Informationen zum Hinzufügen einer WLAN-Konfiguration finden Sie unter Netzwerke verwalten. - Verweisen Sie das Netzwerk auf die Erweiterung für die Registrierung. Im Feld URL für die Clientregistrierung geben Sie chrome-extension://fhndealchbngfhdoncgcokameljahhog/html/request_certificate.html ein.
Hinweis: Sie können auch dann in Chrome auf die URL der Registrierungserweiterung zugreifen, wenn darunter noch keine Netzwerke zur Registrierung konfiguriert sind. So haben Sie die Möglichkeit, die URL manuell zu testen, bevor Sie Netzwerke konfigurieren oder Zertifikate für andere Zwecke als EAP-TLS-Netzwerke registrieren, z. B. zertifikatsbasiertes VPN. Bitten Sie die Nutzer, die URL im Browser aufzurufen und den Schritt für die Netzwerkkonfiguration zu überspringen.
- Rufen Sie auf einem verwalteten ChromeOS-Gerät chrome://policy auf.
- Klicken Sie auf Richtlinien neu laden.
- Scrollen Sie zu Zertifikatregistrierung für ChromeOS.
- Überprüfen Sie bei jeder Richtlinie, ob die Werte mit denen übereinstimmen, die Sie in der JSON-Datei festgelegt haben.
Problembehandlung bei Anfragen für digitale Zertifikate
Gilt nur für verwaltete Chromebooks.
So beheben Sie Probleme, die auftreten können, wenn Nutzer digitale Zertifikate anfordern.
Fehlermeldungen in der Benutzeroberfläche der Erweiterung
Kein gültiges Systemtoken gefunden. Ihr Gerät ist möglicherweise nicht in der Domain registriert oder Sie sind nicht berechtigt, ein Systemzertifikat anzufordern.
Fehlermeldungen in Chrome-Fehlerprotokollen
Bei der Registrierung unter dem angegebenen URI ist ein Fehler aufgetreten.
Von der Erweiterung werden falsche Registrierungsendpunkte angefordert.
- Richtige URL-Anfrage: https://Nutzername:Passwort@IhrCEPDienstURI
- Falsche URL-Anfrage: chrome-extension://Nutzername:Passwort@fhndealchbngfhdoncgcokameljahhog/html/request_certificate.html
Probleme mit der URL-Anfrage können auftreten, wenn die Erweiterung "Zertifikatregistrierung für ChromeOS" zum ersten Mal installiert wird und keine Statusinformationen vorhanden sind. Probleme können auch auftreten, wenn die Erweiterung aktualisiert wird und die vorherigen Statusinformationen verloren gehen.
Wenn Sie eine neue oder aktualisierte Richtlinie auf die Erweiterung übertragen möchten, stellen Sie zuerst per Push eine leere Richtlinie bereit, damit alle aktuellen Richtlinienwerte gelöscht und zurückgesetzt werden. Übertragen Sie dann per Push die gewünschte Richtlinie.
- Übertragen Sie per Push eine leere Richtlinie.
- Vergewissern Sie sich, dass Richtlinien auf den Geräten der Nutzer angewendet werden.
- Übertragen Sie per Push die gewünschte Richtlinie.
- Vergewissern Sie sich, dass Richtlinien auf den Geräten der Nutzer angewendet werden.
- Aktualisieren Sie die Erweiterung "Zertifikatregistrierung für ChromeOS".
Es sind keine URIs für die Registrierung verfügbar.
- Die Rollendienste für die Zertifikatregistrierung müssen so konfiguriert sein, dass die Authentifizierung mit Nutzername und Passwort akzeptiert wird (anders als z. B. bei Kerberos).
- Überprüfen Sie, ob in Ihrer Erweiterungskonfiguration die richtige CA-Vorlage festgelegt ist.
- Stellen Sie sicher, dass der Wert in der Richtlinie "user_enrollment_templates" in der JSON-Datei dem Namen der Vorlage der Zertifizierungsstelle entspricht, nicht dem Anzeigenamen.
- Überprüfen Sie die Berechtigungen für authentifizierte Nutzer, die in der CA-Vorlage festgelegt sind. Haben die betreffenden Nutzer die entsprechenden Berechtigungen?
Google sowie zugehörige Marken und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der jeweiligen Unternehmen.