Qu'est-ce que l'accès validé ?
L'accès validé permet de s'assurer qu'un appareil qui se connecte à votre réseau n'a pas été modifié et qu'il est conforme aux règles. L'accès validé sert de point d'accès à un service réseau (tel qu'une passerelle VPN, un serveur sensible, une autorité de certification ou un point d'accès Wi-Fi d'entreprise) pour obtenir une garantie cryptographique intégrée au matériel de l'identité de l'appareil et de l'utilisateur qui tente d'y accéder. En savoir plus sur le fonctionnement de l'accès validé
Fonctionnement
L'accès validé utilise le TPM (Trusted Platform Module), présent sur tous les appareils ChromeOS, pour permettre aux services réseau d'entreprise de confirmer de manière cryptographique l'identité et l'état du mode sécurisé ainsi que les règles d'entreprise à l'aide d'une API côté serveur de Google.
Vous devez activer la fonctionnalité Accès validé dans la console d'administration Google et forcer l'installation d'une extension Chrome sur les appareils de vos utilisateurs. Une fois cette opération effectuée, votre service réseau communique avec l'API Verified Access pour déterminer la conformité aux règles et avec Google (facultatif) pour déterminer l'identité de l'appareil client. Pour en savoir plus sur le point de terminaison du service réseau, consultez l'étape 3 ci-dessous.
Configurer l'accès validé pour mon entreprise
Étape 1 : Enregistrer les appareils ChromeOS
L'accès validé ne fonctionne que pour les utilisateurs de la version Enterprise gérés sur les appareils enregistrés dans le domaine que vous gérez. Découvrez comment enregistrer un appareil ChromeOS.
Étape 2 : Installez une extension d'accès validé
Pour utiliser le service Accès validé dans votre organisation, vous devez disposer d'une extension Chrome qui appelle l'API Verified Access sur les appareils clients. Vous pouvez obtenir une extension auprès d'un éditeur de logiciels indépendants, tel que Cloudpath, ou utiliser le guide du développeur de l'API Google Verified Access pour implémenter votre propre extension.
Assurez-vous que cette extension est déployée sur le Chrome Web Store ou sur un Chrome Web Store d'entreprise propre à votre organisation.
Remarque : L'espace de noms chrome.enterprise.platformKeys contient deux API : challengeUserKey et challengeMachineKey. À l'étape 4, si vous effectuez la validation de l'appareil, vous devez appeler "challengeMachineKey". Si vous procédez à la validation des utilisateurs, vous devez appeler "challengeUserKey". Pour toute question, contactez votre éditeur indépendant.
Étape 3 : Configurez le point de terminaison de votre service réseau
Vous devez disposer d'un service réseau qui comprend le protocole d'accès validé et prend des décisions d'autorisation en fonction des résultats de l'appel d'API Google Verified Access. Il peut s'agir, par exemple, de VPN compatibles avec l'accès validé ou d'extensions de services de certification qui vous permettent d'émettre des certificats d'appareils client pour les appareils conformes. Comme pour l'extension Chrome décrite ci-dessus, vous pouvez les obtenir auprès d'un éditeur indépendant ou suivre les instructions du guide du développeur de l'API Google Verified Access pour implémenter votre propre extension.
Vous devez:
- connaître le compte de service Google utilisé par ce point de terminaison lorsqu'il communique avec l'API Google (contactez votre fournisseur).
- accorder l'accès à ce compte dans la console d'administration de votre organisation lors des prochaines étapes.
Étape 4 : Configurez les règles de la console d'administration
Vous pouvez choisir de configurer la validation de l'appareil ou de l'utilisateur. Les entreprises soucieuses de la sécurité procèdent généralement à la validation de l'utilisateur, car elle valide à la fois l'utilisateur et l'appareil, alors que valider uniquement l'appareil signifie que toute personne utilisant l'appareil peut accéder au réseau protégé.
Configurer les règles relatives aux appareils
- Définissez la valeur de la règle Mode validé de manière à exiger le mode sécurisé (ou non) pour la validation de vos appareils.
- Sous Mode validé, ajoutez l'adresse e-mail du compte de service utilisé par le point de terminaison de votre service réseau à l'une de ces listes :
- Comptes de service autorisés à recevoir l'ID des appareils
- Comptes de service autorisés à valider les appareils, mais pas à recevoir leur ID
Configurer les règles utilisateur
- Définissez la valeur de la règle Mode validé de manière à exiger le mode sécurisé (ou non) pour la validation de vos appareils.
- Sous Mode validé, ajoutez l'adresse e-mail du compte de service utilisé par le point de terminaison de votre service réseau à l'une de ces listes :
- Comptes de service autorisés à recevoir des informations sur les utilisateurs
- Comptes de service autorisés à valider les comptes des utilisateurs, mais pas à recevoir les informations concernant ces derniers
Activer les règles d'application (obligatoire)
- Activez Forcer l'installation.
- Activez Autoriser l'accès pour demander les clés d'entreprise.
Remarque : L'API chrome.enterprise.platformKeys ne fonctionne qu'avec les extensions qui ont été installées d'office par le biais de règles.
Et voilà ! Vous avez configuré l'accès validé. Des questions ? Consultez le guide du développeur de l'API Verified Access.