Chromebook Single Sign-On konfigurieren

Lernen Sie, wie Sie XG Firewall konfigurieren, um Chromebook-Benutzer an XG Firewall zur gleichen Zeit anzumelden, wenn diese sich an ihrem Chromebook anmelden.

Zielsetzungen

Wenn Sie diese Einheit abschließen, wissen Sie, wie Sie folgendes tun:

Einen Active-Directory-Server in XG Firewall für die Verwendung mit Google Chrome Enterprise konfigurieren.
Ein Chromebook für die Verwendung mit XG Firewall konfigurieren.
Google Chrome Enterprise für die Verwendung mit XG Firewall konfigurieren.

Chromebook SSO mit Active Directory konfigurieren

Konfigurieren Sie zuerst XG Firewall.

Ihr Active-Directory-Server ist bereits für die Verwendung mit G Suite konfiguriert und die Synchronisierung hat stattgefunden.
Sie wissen, wie man einen Active-Directory-Server in XG Firewall konfiguriert.
Sie wissen, wie man Zertifikate erstellt oder importiert.
Sie wissen, wie man Firewallregeln erstellt.
Chromebooks können sich mit dem von XG Firewall kontrollierten Netzwerk verbinden, z.B. dem LAN oder WLAN.

Active-Directory-Server erstellen.
Die Chromebook-Benutzer im AD müssen E-Mail-Adressen haben, welche die bei G Suite registrierte Domäne verwenden. Wenn Ihre registrierte Domäne z.B. example.com ist, müssen AD-Chromebook-Benutzer eine E-Mail-Adresse der Form user@example.com haben.
Ändern Sie den Appliance-Zugriff, um Chromebook SSO zuzulassen.
Gehen Sie zu Verwaltung > Appliance-Zugriff und wählen Sie Chromebook SSO für die Zone, aus der sich die Chromebook-Benutzer verbinden dürfen, z.B. LAN und WLAN.
Erstellen oder importieren Sie ein gültiges Zertifikat.
Anmerkung Der CN muss mit der Zone oder dem Netzwerk übereinstimmen, wo sich die Chromebook-Benutzer befinden, z.B. gateway.example.com.
Das Zertifikat darf nicht durch ein Kennwort geschützt sein.
Das Zertifikat wird für die SSL-verschlüsselte Kommunikation mit den Chromebooks verwendet.

Gehen Sie zu Authentifizierung > Dienste > Chromebook SSO, schalten Sie die Chromebook-SSO-Funktion ein und legen Sie die folgenden Einstellungen fest:

Option	Bezeichnung
Domäne	Die bei G Suite registrierte Domäne, also das Domänen-Suffix der in G Suite verwendeten E-Mail-Adressen, zum Beispiel `example.com`. Dies kann sich von Ihrer Active-Directory-Domäne unterscheiden.
Port	65123
Zertifikat	Das oben erstellte oder importierte Zertifikat.
Protokollierungsstufe	Wählen Sie den Umfang der Protokollierung.

Klicken Sie auf G Suite App-Konfiguration herunterladen.
Dadurch wird eine JSON-Datei heruntergeladen, die Sie später in G Suite hochladen müssen.
Öffnen Sie die Datei mit einem Texteditor, geben Sie einen Wert für Serveradresse ein (LAN- oder DNS-IP-Adresse der XG Firewall), und speichern Sie.
Die Serveradresse muss mit der CN des Zertifikats übereinstimmen, z.B. 10.1.1.1.
Erstellen Sie Firewallregeln.
1. Erstellen Sie eine Benutzer-/Netzwerkregel, um Google API und Chrome Web Store die Kommunikation mit allen Geräten zu gestatten. Dies ist nötig, um die App auf die Chromebooks zu senden:
  - Quellzonen, z.B.: LAN, WLAN
  - Zielzonen, z.B.: WAN
  - Zielnetzwerke: Wählen Sie die vordefinierten FQDN-Hostgruppen Google API Hosts und Google Chrome Web Store aus.
2. Erstellen Sie eine Benutzer-/Netzwerkregel, die bekannte Benutzer abgleicht und unbekannten Benutzern das Captive-Portal anzeigt, um Chromebooks Internetzugriff zu gewähren.
  - Quellzonen, z.B.: LAN, WLAN
  - Zielzonen, z.B.: WAN
  - Identität: Wählen Sie die folgenden Optionen aus: Übereinstimmung mit bekannten Benutzern, Unbekannten Benutzern das Captive-Portal anzeigen
  Sortieren Sie beide Regeln, sodass Regel A vor Regel B angewendet wird.
  
  Wenn Sie in Regel B nicht Unbekannten Benutzern das Captive-Portal anzeigen auswählen, empfehlen wir, dass Sie eine weitere Netzwerkregel C erstellen, um mögliche Wartezeiten zu vermeiden, wenn der Chrome Web Store kontaktiert wird.
3. Erstellen Sie ein Benutzer-/Netzwerkregel mit den folgenden Einstellungen:
  - Regeltyp: Ablehnen
  - Quellzonen, z.B.: LAN, WLAN
  - Zielzonen: WAN
  Platzieren Sie die Regel unten auf der Liste, sodass die Regel zuletzt angewendet wird.

Ein Chromebook konfigurieren.

Ein Chromebook konfigurieren, indem Sie die Sophos Chromebook Benutzer-ID App aus dem Web Store installieren.

Google Chrome Enterprise konfigurieren

Konfigurieren Sie G Suite für die Kommunikation mit XG Firewall.

Melden Sie sich bei G Suite an und gehen Sie zu Geräteverwaltung > Chrome-Verwaltung > App-Verwaltung.
Suchen sie nach der Sophos Chromebook Benutzer-ID app und wählen Sie sie aus.

Gehen Sie zu Nutzereinstellungen und nehmen Sie die folgenden Einstellungen für Ihre Domäne vor:

Option	Bezeichnung
Installation zulassen	Eingeschaltet lassen. Ermöglicht Benutzern, Apps selbst zu installieren.
Installation erzwingen	Aktivieren, um die App automatisch auf allen Chromebooks zu installieren, die für Ihre Domäne konfiguriert sind.
An Taskleiste anheften	Aktivieren, um die App in der Taskleiste des Chromebooks nach der Installation anzuzeigen.
Zur Chrome Web Store-Sammlung hinzufügen	Aktivieren, um die App in der Chrome Web Store-Sammlung für Ihre Organisation anzeigen.

Laden Sie die JSON-Konfigurationsdatei in G Suite hoch.
Das ist die, die Sie von Authentifizierung > Dienste > Chromebook SSO heruntergeladen haben.
Speichern Sie.
Gehen Sie zu Einstellungen für öffentliche Sitzungen, legen Sie die gleichen Einstellungen wie für Nutzereinstellungen fest und laden Sie dort auch die JSON-Konfigurationsdatei hoch.
Die Konfigurationsänderungen werden automatisch auf alle verwalteten Geräten verteilt. Die Google-Dokumentation besagt, dass Einstellungen in Minuten in Kraft treten. Aber dass sie bis zu einer Stunde benötigen, um für alle angewendet zu werden.

Der Konfigurationsvorgang hier ist abgeschlossen, es sei denn, Sie verwenden ein selbst-signiertes Zertifikat für XG Firewall. In diesem Fall, müssen Sie das entsprechende Zertifikat an die Chromebooks verteilen. Fahren Sie mit dem nächsten Abschnitt fort.

Sobald sich Benutzer mit der in G Suite konfigurierten Domäne authentifizieren, werden sie unter Aktuelle Aktivitäten > Live-Benutzer angezeigt.

CA-Zertifikat für die Proxy- und App-Kommunikation installieren

Wenn Sie ein selbstsigniertes Zertifikat für XG Firewall verwenden, müssen Sie das entsprechende CA-Zertifikat in G Suite hinterlegen, damit die Proxy- und App-Kommunikation funktioniert.

Sie werden das CA-Zertifikat (üblicherweise Standard) brauchen, das Sie von XG Firewall unter Zertifikate > Zertifizierungsstellen (CA) herunterladen können.