Attivare l'accesso verificato con i dispositivi Chrome OS

Che cos'è Verified Access?

Verified Access garantisce che un dispositivo che si connette alla tua rete non è stato modificato ed è conforme alle norme. Verified Access funge da punto di accesso per un servizio di rete (ad esempio un gateway VPN, un server sensibile, un'autorità di certificazione (CA) aziendale) o un punto di accesso Wi-Fi aziendale) per ottenere una garanzia dell'identità basata su hardware del dispositivo e dell'utente che sta tentando di accedervi. Scopri di più su come funziona Verified Access.

Come funziona?

Verified Access utilizza il Trusted Platform Module (TPM), presente in tutti i dispositivi ChromeOS, per consentire ai servizi di rete aziendali di confermare crittograficamente l'identità e lo stato della modalità protetta e dei criteri aziendali utilizzando un'applicazione lato server di Google. Interfaccia di programmazione di un'applicazione (API).

Devi attivare la funzionalità Verified Access nella Console di amministrazione Google e forzare l'installazione di un'estensione di Chrome sui dispositivi degli utenti. A questo punto, il servizio di rete comunica con l'API Verified Access per determinare la conformità alle norme e con Google per determinare (facoltativamente) l'identità del dispositivo client. Per saperne di più sull'endpoint del servizio di rete, consulta il passaggio 3 di seguito.

Configurare Verified Access per la mia azienda

Passaggio 1: registra i dispositivi ChromeOS

Verified Access funziona solo per gli utenti aziendali gestiti sui dispositivi registrati nel dominio che gestisci. Scopri come registrare un dispositivo ChromeOS.

Passaggio 2: installa un'estensione Verified Access

Per utilizzare Verified Access nella tua organizzazione, devi avere un'estensione di Chrome che chiami l'API Verified Access sui dispositivi client. Puoi ottenere un'estensione da un fornitore di software indipendente (ISV), come Cloudpath, o utilizzare la guida per gli sviluppatori di API Google Verified Access per implementare la tua estensione.

Assicurati che questa estensione sia implementata nel Chrome Web Store o in un Chrome Web Store aziendale specifico per la tua organizzazione.

Nota: nello spazio dei nomi chrome.enterprise.platformKeys sono presenti due API: challengeUserKey e challengeMachineKey. Nel passaggio 4, se esegui la verifica del dispositivo, devi chiamare "challengeMachineKey". Se intendi eseguire la verifica dell'utente, devi chiamare "challengeUserKey". In caso di domande, rivolgiti al tuo ISV.

Passaggio 3: configura l'endpoint del servizio di rete

Devi disporre di un servizio di rete che comprenda il protocollo Verified Access e prenda decisioni di autorizzazione in base ai risultati della chiamata API Google Verified Access. Alcuni esempi sono le appliance VPN che supportano Verified Access o le estensioni di servizio dei certificati che consentono di emettere certificati dei dispositivi client per i dispositivi conformi. Come per l'estensione di Chrome descritta sopra, puoi ottenerli da un fornitore di servizi di terze parti o seguire le istruzioni riportate nella Guida per gli sviluppatori API Google Verified Access per implementare i tuoi.

Dovrai:

• Conoscere l'account di servizio Google utilizzato da questo endpoint quando comunica con l'API Google (chiedi al tuo fornitore).
• Nei passaggi successivi, concedere l'accesso a questo account nella Console di amministrazione della tua organizzazione.

Passaggio 4: configura le policy della Console di amministrazione

Puoi scegliere di configurare la verifica del dispositivo o dell'utente. Le aziende attente alla sicurezza in genere effettuano la verifica dell'utente perché verifica sia l'utente che il dispositivo, mentre: se effettui solo la verifica del dispositivo significa che chiunque lo utilizzi possa accedere alla rete protetta.

Configura criteri relativi ai dispositivi

1. Imposta il valore della policy Modalità verificata in modo da richiedere o meno la modalità sicura per i controlli del dispositivo.
2. In Modalità verificata, aggiungi l'indirizzo email dell'account di servizio utilizzato dall'endpoint di servizio di rete a uno dei seguenti elenchi:

• Account di servizio che possono ricevere l'ID dispositivo
• Account di servizio che possono verificare i dispositivi ma non ricevono l'ID dispositivo

Configurazione dei criteri relativi agli utenti

1. Imposta il valore della policy Modalità verificata in modo da richiedere o meno la modalità sicura per i controlli del dispositivo.
2. In Modalità verificata, aggiungi l'indirizzo email dell'account di servizio utilizzato dall'endpoint di servizio di rete a uno dei seguenti elenchi:

• Account di servizio a cui è consentito ricevere dati degli utenti
• Account di servizio che possono verificare gli utenti, ma non ricevono i dati degli utenti

Abilita le policy per le applicazioni (obbligatorie)

1. Attiva Forza installazione.
2. Attiva Consenti accesso a chiavi enterprise per richiesta di verifica

Nota: l'API chrome.enterprise.platformKeys è disponibile solo per le estensioni che sono state installate in modo forzato secondo le norme.

È davvero semplice. Hai configurato Verified Access. Domande? Consulta la guida per gli sviluppatori API Verified Access.