Yönetici olarak, bir kullanıcının veya cihaz sertifikasının manuel ya da otomatik alınmasını sağlamak için ChromeOS'teki Sertifika Kaydı uzantısını kullanabilirsiniz. Ayrıca, süresi dolan mevcut sertifikaların otomatik olarak yenilenmesini de sağlayabilirsiniz.
Uzantıyı kullanmadan önce, kullanıcıların erişime sahip olduğundan ve ayrıca uzantının ve ilişkili yönetilen politikanın düzgün şekilde yapılandırıldığından emin olun. Uzantıyı ayarlama konusunda daha fazla yardım için Uzantı dağıtım kılavuzu bölümünü inceleyin.
Sertifika isteği türleri
İki tür sertifika isteği vardır: kullanıcı sertifikası istekleri ve cihaz sertifikası istekleri.
- Kullanıcı sertifikası istekleri, isteği gönderen kullanıcı için sertifika verilmesini sağlar (cihazın geneli için sertifika verilmez). Kullanıcı sertifikaları yalnızca bu bilgisayara giriş yapmış olan kullanıcı için geçerlidir; bilgisayarı kullanabilecek diğer kullanıcılar için geçerli değildir.
- Cihaz sertifikası istekleri, isteği gönderen cihazın geneli için sertifika verilmesini sağlar (sertifika, isteği gönderen kullanıcı ile sınırlı kalmaz). Cihaz sertifikaları, bilgisayar üzerinde aynı kuruluşta yer alan tüm kullanıcılar için geçerlidir. Bu genellikle yönetilen misafir oturumu veya kiosk modunda kullanılan cihazlar için gereklidir.
Kullanıcı tarafından girilen kimlik bilgileri olmadan sertifika sağlama
Sertifika kaydı uzantısını, kullanıcıların kimlik bilgilerini manuel olarak girmesine gerek kalmadan, otomatik olarak sertifika sağlayacak veya yenileyecek şekilde yapılandırabilirsiniz.
Yeni sertifika sağlama veya sertifika yenileme seçeneklerinden birini yapılandırdığınızda, cihazda halihazırda sağlanmış bir sertifika yoksa ya da sertifikanın süresi dolmak üzereyse, uzantı, kullanıcının sertifika almasını veya sertifikasını yenilemesini isteyen bir bildirimi otomatik olarak tetikler. Kullanıcı bildirimi tıkladığında uzantı, sertifika alma veya yenileme işlemini başlatır. Ayrıntılar için Uzantı dağıtım kılavuzu bölümünü ziyaret edin.
Sertifika kaydetmeÖnceden yapılandırılmış bir sertifikayı otomatik olarak kaydettirmek için kullanıcının şu işlemleri yapması gerekir:
- Sertifika Kaydettir bildirimini tıklayın.
- (İsteğe bağlı) Cihaz sertifikası istemek için Cihaz Genelinde Sertifika Kaydettir'i seçin. Kutu işaretlenmezse bir kullanıcı sertifikası istenir.
- Kaydol'u tıklayın.
Sertifikayı yenilemek için kullanıcının yalnızca Sertifika Yenileme Hatırlatıcısı bildirimini tıklaması gerekir.
Kullanıcı tarafından girilen kimlik bilgileriyle sertifika sağlama
Sertifika kaydı uzantısını, kullanıcıların bir sertifikayı manuel olarak sağlamalarına izin verecek şekilde yapılandırabilirsiniz
Birincil kullanıcı işlemleri akışları
Uzantıdaki kullanıcı akışları, birincil ve ikincil kategorilere ayrılır. Bu bölümde açıklanan birincil kullanıcı işlemleri akışı, normalde kullanıcının karşılaşacağı akıştır.
Kullanıcı sertifikası isteği oluşturmaKullanıcı sertifikası istekleri, isteği gönderen kullanıcı için sertifika verilmesini amaçlar (cihazın geneli için sertifika verilmez). Kullanıcı sertifikaları yalnızca bu bilgisayara giriş yapmış olan kullanıcı için geçerlidir; bilgisayarı kullanabilecek diğer kullanıcılar için geçerli değildir.
- Tıklayarak veya sekme tuşuyla Kullanıcı adı alanına gidin.
- Kullanıcı adınızı girin.
- Tıklayarak veya sekme tuşuyla Şifre alanına gidin.
- Şifrenizi girin.
- Cihaz Genelinde kutusunu işaretlemeden bırakın.
Cihaz sertifikası istekleri, isteği gönderen cihazın geneli için sertifika verilmesini amaçlar (sertifika, isteği gönderen kullanıcı ile sınırlı kalmaz). Cihaz sertifikaları, bilgisayar üzerinde aynı kuruluşta yer alan tüm kullanıcılar için geçerlidir. Bu genellikle Herkese Açık Oturum veya kiosk modunda kullanılan cihazlar için gereklidir.
- Tıklayarak veya sekme tuşuyla Kullanıcı adı alanına gidin.
- Kullanıcı adınızı girin.
- Tıklayarak veya sekme tuşuyla Şifre alanına gidin.
- Şifrenizi girin.
- Cihaz Genelinde kutusunu işaretleyin.
Gönderilen isteğin türü (kullanıcı veya cihaz) ne olursa olsun, istek gönderme işlemi aynıdır.
- Yukarıdaki adımlarda belirtildiği gibi bir kullanıcı veya cihaz sertifikası isteği oluşturun.
- Kaydol düğmesine gidin.
- Kaydol'u tıklayın.
İstek gönderildikten sonra ideal sonuç, sunucudan gelen ve istenen sertifikayı da içeren bir "işlem başarılı" yanıtıdır.
- Yukarıda belirtildiği şekilde bir Sertifika İsteği gönderin.
- Yanıt gelmesini bekleyin.
- Yanıt alındığında, bir iletişim kutusunda, sertifikanın alındığını ve içe aktarıldığını belirten bir başarı mesajı görüntülenir.
- İletişim kutusunda Tamam'ı seçin, Escape tuşuna basın veya işiniz bittiğinde iletişim kutusunu kapatmak için iletişim kutusunun dışını tıklayın.
Gönderilen bir istek çeşitli nedenlerle başarısız olabilir. Hata yanıtı, bu hataların tamamını kapsar ve kullanıcıya sorunun ne olduğunu bildirir.
- Yukarıda belirtildiği şekilde bir Sertifika İsteği gönderin.
- Yanıt gelmesini bekleyin.
- Yanıt alındığında, bir şeylerin yolunda gitmediğini belirten bir hata mesajı içeren bir iletişim kutusu görüntülenir.
- İletişim kutusunda Tamam'ı seçin, Escape tuşuna basın veya işiniz bittiğinde iletişim kutusunu kapatmak için iletişim kutusunun dışını tıklayın.
- Hata düzeltilebiliyorsa (geçersiz kullanıcı adı gibi) gerekli düzeltmeyi yapıp isteği yeniden gönderdiğinizde başarılı bir sonuç elde edersiniz. Hata düzeltilemiyorsa (örneğin, istek sunucu tarafından reddediliyorsa) kullanıcı yardım istemelidir.
İkincil kullanıcı işlemleri akışları
Aşağıda açıklanan ikincil kullanıcı işlemleri akışlarıyla nadiren karşılaşılır.
Bekleyen Sertifika Yanıtı Almaİstek gönderildikten sonra bazen sunucu, daha sonra manuel olarak incelenip onaylanması/reddedilmesi için isteği beklemede olarak ayarlayabilir. Beklemede yanıtı, bu akışı kapsar ve kullanıcıya isteğin durumunu daha sonra tekrar kontrol etmesi gerektiğini bildirir.
- Yukarıda belirtildiği şekilde bir Sertifika İsteği gönderin.
- Yanıt gelmesini bekleyin.
- Yanıt alındığında, isteğin beklemeye alındığını belirten bekleme mesajını içeren bir iletişim kutusu görüntülenir. Ayrıca, daha sonra kontrol edilmesi gereken, isteğin kayıt URI'si ve istek kimliği de gösterilir.
- Daha sonra kullanmak üzere kayıt URI'sini ve istek kimliğini bir yere kopyalayın.
- İletişim kutusunda Tamam'ı seçin, Escape tuşuna basın veya işiniz bittiğinde iletişim kutusunu kapatmak için iletişim kutusunun dışını tıklayın.
Bekleyen sertifikası olan kullanıcılar, bir noktada sertifikalarının durumunu kontrol etmek isteyebilir. Bekleyen sertifika istekleri oluşturmak ve göndermek için kullanıcının bekleyen istek kullanıcı arayüzüne gitmesi gerekir.
- Tıklayarak veya sekme tuşuyla Diğer Seçenekler düğmesini seçin.
- Oluşturulan seçenekler listesinde, tıklayarak veya sekme tuşuyla "Bekleyen istekleri denetlemek için ek alanlar gösterilsin mi?" bölümüne gidin.
- Bekleyen istek alanlarının gösterilmesi için "Bekleyen istekleri denetlemek için ek alanlar gösterilsin mi?" seçeneğini işaretleyin.
Bekleyen istek kullanıcı arayüzüne gitmiş olan bir kullanıcı, bir noktada normal istek arayüzüne dönmek isteyebilir.
- Tıklayarak veya sekme tuşuyla Diğer Seçenekler düğmesini seçin.
- Oluşturulan seçenekler listesinde, tıklayarak veya sekme tuşuyla "Bekleyen istekleri denetlemek için ek alanlar gizlensin mi?" bölümüne gidin.
- Bekleyen istek alanlarının gizlenmesini istiyorsanız "Bekleyen istekleri denetlemek için ek alanlar gizlensin mi?" seçeneğini işaretleyin.
Bekleyen sertifikası olan kullanıcılar, bir noktada sertifikalarının durumunu kontrol etmek isteyebilir. Uzantı, yeni bir istek oluşturmaya çok benzeyen bu akışa izin verir.
- Yukarıda belirtildiği şekilde Bekleyen İstek Kullanıcı Arayüzüne gidin.
- Tıklayarak veya sekme tuşuyla Kullanıcı adı alanına gidin.
- Kullanıcı adınızı girin.
- Tıklayarak veya sekme tuşuyla Şifre alanına gidin.
- Şifrenizi girin.
- Tıklayarak veya sekme tuşuyla Kayıt URI'si alanına gidin.
- Eski bekleyen sertifika yanıtlarından birinde gösterilen kayıt URI'sini girin.
- Tıklayarak veya sekme tuşuyla İstek Kimliği alanına gidin.
- Eski bekleyen sertifika yanıtlarından birinde gösterilen istek kimliğini girin.
- Baştaki sertifika isteği cihaz genelinde bir sertifika içinse Cihaz Genelinde onay kutusunu işaretleyin. Cihaz genelinde bir sertifika istemiyorsanız Cihaz Genelinde onay kutusunu işaretlemeden bırakın.
Bekleyen bir sertifika kontrolü isteği oluşturulduktan sonra, yanıt alabilmek için kullanıcının bu isteği göndermesi gerekir. Bekleyen sertifika kontrolü isteği, yukarıda tanımlanan akışlarla eşleşen başarılı, başarısız veya hâlâ bekliyor yanıtını alabilir.
- Yukarıda belirtildiği gibi, Bekleyen Sertifika Kontrolü İsteği oluşturun.
- Durumu Kontrol Et düğmesine gidin.
- Durumu Kontrol Et düğmesini seçin.
Hatalar oluşuyorsa, bir asistanın veya yöneticinin uzantıda neler olduğunu tam olarak anlamak için günlüklerin tamamına bakması yararlı olabilir. Bir kullanıcının bu günlükleri alabilmesi için günlüklerin, kullanıcının panosuna kopyalanmasını sağlayan basit bir yöntem sunarız.
- Tıklayarak veya sekme tuşuyla Diğer Seçenekler düğmesini seçin.
- Tıklayarak veya sekme tuşuyla, oluşturulan seçenekler listesinden "Günlükleri Panoya Kopyala" seçeneğine gidin.
- Günlüklerin, kullanıcının panosuna kopyalanması için "Günlükleri Panoya Kopyala"yı seçin.
- Burada, kullanıcı bu günlükleri kendi cihazında normal şekilde seçtiği herhangi bir yere yapıştırabilir.
Uzantı dağıtım kılavuzu
Yalnızca yönetilen Chromebook'lar için geçerlidir.
Yönetici olarak, Chromebook kullanıcılarının kuruluşunuzun korunan ağlarına ve kimlik doğrulama için sertifika gerektiren dahili kaynaklarına erişmesine izin verebilirsiniz. ChromeOS için Sertifika Kaydı uzantısını uzaktan yükleyin ve yapılandırın. Bu sayede, kullanıcılarınız Chromebook'larda kullanıcı veya sistem sertifikaları isteyebilir.
Alternatif olarak, otomatik sertifika temel hazırlığını, kullanıcı veya cihaz sertifikaları için Kerberos kimlik doğrulamasını ya da cihaz sertifikaları için barındırılan hizmet hesabı kimlik doğrulamasını kullanarak ayarlayabilirsiniz. Uzantıyı, ek kimlik doğrulaması olmadan, anahtar tabanlı yenileme özelliğini kullanarak mevcut sertifikaları yenileyecek şekilde de ayarlayabilirsiniz.
Uzantı, Microsoft Active Directory sertifika kayıt işlemini Google Yönetici Konsolu üzerinden otomatikleştirerek ChromeOS cihazlarınızı geniş ölçekte kullanıma sunmanıza da olanak sağlar.
Başlamadan önce
Kullanıcıların dijital sertifika istemesine izin vermek için aşağıdakilere ihtiyacınız vardır:
- Microsoft Windows Server 2008 R2 veya sonraki bir sürümü
- Microsoft Internet Information Services (IIS) 7.0 veya sonraki bir sürümü
- Aşağıdakileri de içeren Active Directory Sertifika Hizmetleri (ADCS):
- Sertifika kaydı hizmeti (CES)
- Sertifika kaydı politikası (CEP)
- IIS'teki ADCS web sitesiyle ilişkili geçerli bir sertifika
- CEP ve CES için görünür bir uç nokta
Sorumluluk Reddi Beyanı
Bu kılavuzda, Google ürünlerinin üçüncü taraf ürünlerle nasıl çalıştığı veya Google tarafından önerilen yapılandırmalar açıklanmıştır. Google, üçüncü taraf ürünlerinin yapılandırılması konusunda teknik destek sunmaz. Google, üçüncü taraf ürünleriyle ilgili olarak sorumluluk kabul etmez. En güncel yapılandırma ve destek bilgileri için ürünün web sitesini ziyaret edin.
Uzantıyı dağıtma
1. Adım: Uzantıyı kullanıcılarınızın cihazlarına zorla yükleyin-
Google Yönetici konsolu hesabınızda oturum açın.
Yönetici hesabınızı (@gmail.com ile bitmeyen hesap) kullanarak oturum açın.
-
Yönetici Konsolu'nda Menü
Cihazlar
Chrome
Chrome Tarayıcı Bulut Yönetimi'ne kaydolduysanız Menü
Chrome Tarayıcı
- Ayarı herkese uygulamak için en üst düzey kuruluş birimini seçili bırakın. Böyle bir isteğiniz yoksa bir alt kuruluş birimi seçin.
- Fare imlecini Ekle'nin üzerine getirin ve
Chrome Web Mağazası'ndan ekle'yi tıklayın.
- ChromeOS için Sertifika Kaydı'nı bulup seçin. Uzantı kimliği fhndealchbngfhdoncgcokameljahhog şeklindedir.
- Kullanıcılar ve Tarayıcılar sayfasında, ChromeOS için Sertifika Kaydı uzantısını seçin.
- Sağdaki panelde, Sertifika yönetimi altından Anahtarlara erişime izin ver'i etkinleştirin.
- Yükleme politikası bölümünde, Zorunlu yükle'yi ya da Zorunlu yükle ve ChromeOS görev çubuğuna sabitle'yi seçin.
- Kaydet'i tıklayın.
Chrome Web Mağazası'ndan ekle'yi tıklayın.Kullanıcıların ChromeOS için Sertifika Kaydı uzantısına uygulamak istediğiniz ayarları içeren bir dosya oluşturun. bu örnek dosya ile başlayın ve politikaları kuruluşunuzun veya kullanıcıların gereksinimlerine uyacak şekilde değiştirin. JavaScript® Object Notation (JSON) dosyasını metin düzenleyicisi kullanarak düzenleyebilirsiniz.
Not: Kullanıcıya yönelik dizelerdeki varsayılan değerleri içeren politikalar kullanıcının yerel ayarlarına göre çevrilir ve cihazlarda görünür. Dizeleri kuruluşunuzun ihtiyaçlarına göre değiştirebilirsiniz, ancak çevrilmeyeceklerdir.
Aşağıdaki politikaları ayarlayabilirsiniz:
| Politika adı | Ne işe yarar? |
|---|---|
|
allow_machine_cert_enrollment |
Kullanıcıların sistem sertifikası yüklemesine olanak tanır. True değerine ayarlanırsa kullanıcılar bir sistem veya kullanıcı sertifikası istemeyi seçebilir. True olarak ayarlanmazsa kullanıcılar yalnızca bir kullanıcı sertifikası isteyebilir. Varsayılan, false değeridir. |
|
cep_proxy_url |
CEP için https uç noktasını belirtir. Uç noktayı almak için:
Yalnızca https ile başlayan değerler geçerlidir. "https" ile başlayan ama IIS Yöneticisi'ndeki Tekdüzen Kaynak Tanımlayıcısı (URI) ile eşleşmeyen bir değer girerseniz bu, yine geçerli olarak kabul edilip kullanılsa da büyük olasılıkla başarısız olur. Bu politika zorunludur. |
|
company_info |
Kuruluşunuzun ad ve logo gibi marka bilgilerini belirtir.
|
|
device_cert_request_values |
Bir cihaz sertifikası için sertifika imzalama isteğinde (CSR) kullanılacak değerleri belirtir. İstekte bulunanın özelliklerini kullanmak yerine, kullanıcı ve cihaz özelliklerini temel alan subject (konu) değerleri tanımlayabilirsiniz. Özel CSR kullanmak için sertifika yetkilisindeki (CA) sertifika şablonunu da, istekte tanımlanan subject (konu) değerlerine sahip bir sertifikayı bekleyecek ve böyle bir sertifika oluşturacak şekilde yapılandırmanız gerekir. En azından, subject'teki Aşağıdaki yer tutucuları kullanabilirsiniz. Tüm değerler isteğe bağlıdır. 66 ve sonraki sürümlerden birinin yüklü olduğu ChromeOS cihazlarda şunları kullanabilirsiniz:
Bir yer tutucu değeri mevcut değilse boş bir dizeyle değiştirilir. Yer tutucuları zincir halinde kullanabilirsiniz. Örneğin, |
|
device_enrollment_templates |
Kullanıcı kaydı akışları için öncelik sırasına göre düzenlenmiş halde, eşleşen sertifika şablonu adlarının listesi. Uzantı, eşleşen bir sertifika şablonu bulmak için listede arama yapar. İlk eşleşen sertifika şablonu kullanılır. Bir hata oluşursa uzantı, işlemi diğer sertifika şablonlarıyla yeniden denemez. Bu politika zorunludur. Politika için listede en az bir değer olmalıdır. CA Microsoft Yönetim Konsolu'ndaki (MMC) Şablonun görünen adı alanının değerini değil, Şablon adı alanının değerini kullanın. Varsayılan değer ChromeOSWirelessUser'dır (Chrome OS Kablosuz Kullanıcısı). |
|
enable_auto_enrollment |
Uzantının kaydı otomatik olarak başlatıp başlatmayacağını belirler. False değerine ayarlanırsa uzantı, kullanıcının EAP-TLS ağına bağlanmayı denemesini bekler. Varsayılan, false değeridir. |
| log_level |
Chrome'daki javascript konsoluna gönderilen uzantı günlüklerindeki ayrıntı düzeyini belirtir. NONE (varsayılan): Konsolda hiçbir şeyin günlüğü tutulmaz. ERROR: Yalnızca birbirinden farklı hatalar konsolda günlüğe kaydedilir. WARNING: Birbirinden farklı hatalar ve uyarılar konsolda günlüğe kaydedilir. INFO: Birbirinden farklı hatalar ve uyarılar, alakalı işlem bilgileriyle birlikte konsolda günlüğe kaydedilir. DEBUG: Her şey konsolda günlüğe kaydedilir. İlk sürümde, olası sorunların giderilebilmesi için bu düzeyin kullanılması önerilir. Diğer Seçenekler'de, tüm günlüklerin otomatik olarak panoya kopyalanmasını sağlayabilirsiniz. Kullanıcılar, cihazlarındaki Chrome günlüklerine erişmek için Chrome'daki web geliştirici konsolunu iki yolla açabilir:
Bu politika zorunludur. |
| placeholder_values |
Username (kullanıcı adı), password (şifre), URI, request ID (istek kimliği) ve header (üstbilgi) yer tutucularını belirtir. Bu bilgiler, oturum açtıkları sırada kullanıcılara yol göstermeye yardımcı olur.
|
| renew_hours_before_expiry |
Kullanıcıları, sertifikanın geçerliliği sona ermeden ne kadar süre önceden (saat cinsinden) bilgilendirmek istediğinizi belirtir.
Varsayılan değer 120'dir. |
| renew_reminder_interval |
Kullanıcıları, sertifikanın geçerliliği sona ermeden saat olarak ne sıklıkta bilgilendirmek istediğinizi belirtir. İlk bildirimi aldıktan sonra kullanıcı sertifikayı yenilemez ve hatırlatıcıları yoksaymayı seçmezse belirtilen sayıda saat sonra başka bir bildirim görüntülenir. Örneğin, renew_hours_before_expiry değerini 120, renew_reminder_interval değerini ise 24 olarak ayarlarsanız ve kullanıcı her seferinde başka bildirimler daha almayı seçerse sertifikanın geçerliliği sona erene kadar kullanıcı, toplamda 5 yenileme bildirimi alır (her gün bir tane). Varsayılan değer 24'tür. |
|
request_timeout_seconds |
CEP veya CES çağrısının zaman aşımına uğrayacağı, saniye cinsinden süre. Varsayılan değer 20'dir. |
|
signature_algo |
Uzantının, sertifika isteklerini imzalamak için hangi imza algoritmasını kullandığını belirler. Şu seçenekleri kullanabilirsiniz:
|
|
user_cert_request_values |
Bir kullanıcı sertifikası için sertifika imzalama isteğinde (CSR) kullanılacak değerleri belirtir. İstekte bulunanın özelliklerini kullanmak yerine, kullanıcı ve cihaz özelliklerini temel alan subject (konu) değerleri tanımlayabilirsiniz. Özel CSR kullanmak için, sertifika yetkilisindeki sertifika şablonunu da, istekte tanımlanan subject (konu) değerlerine sahip bir sertifikayı bekleyecek ve böyle bir sertifika oluşturacak şekilde yapılandırmanız gerekir. En azından, subject'teki (konu) Aşağıdaki yer tutucuları kullanabilirsiniz. Tüm değerler isteğe bağlıdır.
Bir yer tutucu değeri mevcut değilse boş bir dizeyle değiştirilir. Yer tutucuları zincir halinde kullanabilirsiniz. Örneğin, |
|
user_enrollment_templates |
Kullanıcı kaydı akışları için öncelik sırasına göre düzenlenmiş halde, eşleşen sertifika şablonu adlarının listesi. Uzantı, eşleşen bir sertifika şablonu bulmak için listede arama yapar. İlk eşleşen sertifika şablonu kullanılır. Bir hata oluşursa uzantı, işlemi diğer sertifika şablonlarıyla yeniden denemez. Bu politika zorunludur. Politika için listede en az bir değer olmalıdır. CA MMC'deki Şablonun görünen adı alanının değerini değil, Şablon adı alanının değerini kullanın. Varsayılan değer ChromeOSWirelessUser'dır. |
Kullanıcı tarafından girilen kimlik bilgileri ile veya bu bilgiler olmadan sertifika temel hazırlığını yapılandırma
Sertifika kaydı uzantısı; varsayılan olarak, kullanıcıların sertifika almaya çalışırken kimlik bilgilerini sağlayarak sertifika temel hazırlığını manuel olarak yapmalarına olanak tanıyacak şekilde ayarlanır.
Kullanıcıların kimlik bilgilerini manuel olarak girmek zorunda kalmadan, ChromeOS uzantısının yardımıyla otomatik olarak sertifika hazırlayabilmelerini veya yenileyebilmelerini sağlayabilirsiniz. Cihazda kullanıcı Kerberos bileti mevcutsa uzantı, Kerberos kimlik doğrulamasını kullanarak hem kullanıcı hem de cihaz sertifikaları isteyebilir. Ayrıca bir hizmet hesabı kullanarak cihaz sertifikaları da isteyebilir.
Kerberos kimlik doğrulaması
Başlamadan önce
- ChromeOS kullanıcısının cihazda Kerberos bileti olmalıdır.
- Kerberos kimlik bilgileri yöneticisi, politikaya göre oturum açmış olan kullanıcı için Kerberos biletinin getirilmesine izin verecek şekilde yapılandırılmalıdır. Tercihen bu, oturum açma sırasında otomatik olarak gerçekleşecek şekilde yapılandırılır. ChromeOS cihazlarda Kerberos tek oturum açma özelliğini yapılandırma başlıklı makaleyi inceleyin.
- Kerberos kaydıyla ilişkili Active Directory kullanıcı hesabının, yapılandırılmış Sertifika Şablonu'nu kullanarak sertifika isteme izni olmalıdır.
- Kayıt uç noktası, Entegre kimlik doğrulama sunucuları ChromeOS politikasında listelenmelidir. Ayrıntılar için Chrome Politika listesinde politikayı inceleyin.
- Yönetici Konsolu'nda Entegre kimlik doğrulama sunucuları ayarını doğru şekilde yapın. Ayrıntılar için Entegre kimlik doğrulama sunucuları başlıklı makaleyi inceleyin.
Uzantıyı yapılandırma
`client_authentication` uzantı politikası değerini `kerberos` olarak ayarlayın.
Barındırılan hizmet hesabı kimlik doğrulaması
Uzantıyı, bir hizmet hesabı kullanarak cihaz sertifikası isteyecek şekilde ayarlayabilirsiniz. Hizmet hesabının kimlik bilgileri, yerel ağınızdaki bir web sunucusunda barındırılır.
Uyarı: Bir saldırgan, cihazdaki kimlik bilgilerini ve uzantı politikasını barındıran web sunucusuna erişim elde ederse hizmet hesabı kimlik bilgilerini çıkarması mümkün olabilir.
Hizmet hesabı kimlik bilgilerini barındıran web sunucusuna erişimi yalnızca ilk ChromeOS cihaz temel hazırlığı için kullanılan bir temel hazırlık ağıyla sınırlandırmanız önerilir.
Başlamadan önce
- Yerel ağda, HTTPS isteklerini işleyebilen bir web sunucunuz olmalıdır.
- ChromeOS, söz konusu web sunucusunun sertifikasına güvenmelidir. Web sunucusu kendinden imzalı bir CA tarafından verilen bir sertifika kullanıyorsa Yönetici Konsolu'nda, CA'nın sertifikasını güvenilecek şekilde yapılandırabilirsiniz.
1. Adım: Maskelenmiş şifreyi oluşturun
- Uzantıyı açın.
- Diğer
- Hizmet hesabı şifresini girin.
- Maske'yi seçin.
- Maskeyi ve maskelenmiş şifreyi bir metin dosyasına kopyalayın.
2. Adım: Kimlik bilgilerini dahili web sunucusunda depolayın
- Web sunucusunu, aşağıdakileri içeren bir JSON dosyası sunacak şekilde yapılandırın:
{
‘username’: ‘<hizmet hesabı kullanıcı adı>’,
‘maskedPassword’: ‘<kopyalanıp yapıştırılan maskelenmiş şifre>’
}
- Web sunucusunun kimlik bilgilerini barındırmak için kullandığı URL'yi kopyalayıp bir metin dosyasına yapıştırın.
3. Adım: Uzantı politikasını yapılandırın
‘service_account_host’uzantı politikası değişkenini yukarıda kopyaladığınız URL'ye ayarlayın.‘service_account_host_password_mask’uzantı politikası değişkenini yukarıda kopyaladığınız maskeye ayarlayın.
Otomatik sertifika yenileme
Uzantıyı ek kimlik doğrulaması olmadan, anahtar tabanlı yenileme özelliğini kullanarak mevcut sertifikaları yenileyecek şekilde ayarlayabilirsiniz.
Başlamadan önce
Yapılandırılmış Sertifika Şablonu için anahtar tabanlı yenilemeyi destekleyen bir ADCS Sertifika Kaydı Hizmeti (CES) uç noktası bulunmalıdır. Ayrıntılar için Özel bağlantı noktasında anahtar tabanlı sertifika yenileme için Sertifika Kaydı Web Hizmeti'ni yapılandırma başlıklı makaleyi inceleyin.
Uzantıyı yapılandırma
`use_key_based_renewal`uzantı politikası değerini true olarak ayarlayın.‘ces_renewal_url’uzantı politikası değerini, anahtar tabanlı yenilemeyi destekleyen Sertifika Kaydı Hizmeti (CES) uç noktasının URL'sine ayarlayın.
-
Google Yönetici konsolu hesabınızda oturum açın.
Yönetici hesabınızı (@gmail.com ile bitmeyen hesap) kullanarak oturum açın.
-
Yönetici Konsolu'nda Menü
Chrome Tarayıcı Bulut Yönetimi'ne kaydolduysanız Menü
- (Yalnızca kullanıcılar) Ayarı bir gruba uygulamak için şunları yapın:
- Gruplar'ı seçin.
- Ayarı uygulamak istediğiniz grubu seçin.
- Ayarı herkese uygulamak için en üst düzey kuruluş birimini seçili bırakın. Böyle bir isteğiniz yoksa bir alt kuruluş birimi seçin.
- ChromeOS için Sertifika Kaydı uzantısını bulup seçin.
- Sağdaki panelde, metin alanındaki Uzantı politikası altına, 2. adımda oluşturduğunuz JSON verilerini girin.
- Yükleme politikası bölümünde, Zorunlu yükle'yi ya da Zorunlu yükle ve ChromeOS görev çubuğuna sabitle'yi seçin.
- Kaydet'i tıklayın.
-
Google Yönetici konsolu hesabınızda oturum açın.
Yönetici hesabınızı (@gmail.com ile bitmeyen hesap) kullanarak oturum açın.
-
Yönetici Konsolu'nda Menü
- Kablosuz Bağlantı'yı tıklayın.
- Yeni bir EAP-TLS ağı ekleyin.
Kablosuz ağ yapılandırması eklemeyle ilgili ayrıntılar için Ağları yönetme başlıklı makaleye göz atın. - Ağı kayıt uzantısına yönlendirin. İstemci kaydı URL'si alanına, chrome-extension://fhndealchbngfhdoncgcokameljahhog/html/request_certificate.html yazın.
Not: Kayıt uzantısı URL'sine, bu URL'de kaydolunacak şekilde yapılandırılmış herhangi bir ağ olmasa bile Chrome tarayıcıdan erişilebilir. Bu, herhangi bir ağı yapılandırmadan veya sertifikaları, EAP-TLS ağlarından farklı kullanımlar (örneğin, sertifika tabanlı VPN) için kaydettirmeden önce URL'yi manuel olarak test etmenize olanak tanır. Kullanıcılara, tarayıcılarında ilgili URL'ye gitmelerini ve ağı yapılandırma adımını atlamalarını söyleyin.
- Yönetilen bir ChromeOS cihazda chrome://policy sayfasına gidin.
- Politikaları yeniden yükle'yi tıklayın.
- ChromeOS için Sertifika Kaydı'na ilerleyin.
- Her politika için, değer alanlarının JSON dosyasında ayarladıklarınızla aynı olduğundan emin olun.
Dijital sertifika istekleriyle ilgili sorunları giderme
Yalnızca yönetilen Chromebook'lar için geçerlidir.
Kullanıcılar dijital sertifika isteğinde bulunduğunda karşılaşabileceğiniz sorunları nasıl giderebileceğiniz aşağıda açıklanmıştır.
Uzantının kullanıcı arayüzündeki hata mesajları
Geçerli bir sistem jetonu bulunamadı. Cihazınız bu alana kayıtlı olmayabilir veya sistem sertifikası isteme hakkınız bulunmayabilir.
Chrome konsolu günlüklerindeki hata mesajları
Belirtilen URI'ye kaydolunamadı.
Uzantı, yanlış kayıt uç noktalarını istiyor.
- Doğru URL isteği: https://kullaniciAdi:sifre@CEPHizmetiUri'niz
- Yanlış URL isteği: chrome-extension://kullaniciAdi:sifre@fhndealchbngfhdoncgcokameljahhog/html/request_certificate.html
ChromeOS için Sertifika Kaydı uzantısı ilk kez yüklendiğinde ve mevcut bir durum bilgisi bulunmadığında kullanıcılar URL isteği sorunlarıyla karşılaşabilir. Uzantı güncellendiğinde ve önceki durum bilgisini kaybettiğinde de sorunlar ortaya çıkabilir.
Yeni veya güncellenmiş bir politikayı uzantıya aktarmak istediğinizde, mevcut tüm politika değerlerinin temizlenmesi ve sıfırlanması için önce boş bir politika aktarın. Ardından, istediğiniz politikayı aktarın.
- Boş bir politika aktarın.
- Politikaların kullanıcıların cihazlarına uygulandığını doğrulayın.
- İstediğiniz politikayı aktarın.
- Politikaların kullanıcıların cihazlarına uygulandığını doğrulayın.
- ChromeOS için Sertifika Kaydı uzantısını yenileyin.
Kaydolunacak bir kayıt URI'si yok.
- Sertifika Kaydı ile ilişkili rol hizmetlerini kullanıcı adı ve şifre ile kimlik doğrulamasını kabul edecek şekilde (örneğin, Kerberos kullanılmamalıdır) yapılandırdığınızdan emin olun.
- Uzantı yapılandırmanızın doğru CA şablonunu kullanacak şekilde tanımlandığından emin olun.
- JSON dosyasında, user_enrollment_templates politikasına girilen değerin, sertifika yetkilisinin Şablon adı ile (Şablon görünen adı ile değil) aynı olduğundan emin olun.
- CA şablonunda belirtilen kimliği doğrulanmış kullanıcıların izinlerini kontrol edin. Ardından, ilgili kullanıcıların uygun ayrıcalıklara sahip olduğundan emin olun.
Google ve ilgili markalarla logolar Google LLC'nin ticari markalarıdır. Diğer tüm şirket ve ürün adları, ilişkili oldukları şirketlerin ticari markalarıdır.