Configurare Chromebook SSO su Sophos Firewall con Google Workspace

Con Chromebook SSO, l’estensione Sophos Chromebook User ID comunica al firewall l’utente Google Workspace autenticato. SFOS può quindi applicare regole basate sugli utenti e mostrare la sessione in Current activities > Live users.

La procedura comprende cinque parti: preparare il certificato e il nome DNS, attivare Chromebook SSO in Device Access, creare le impostazioni SSO e due regole firewall, distribuire l’estensione corrente tramite Google Admin e verificare il risultato con un utente di test. Questa guida si basa su SFOS 22.0 MR2 e sull’attuale estensione Manifest V3.

Prerequisiti

Sono necessari:

Chromebook gestiti in una rete protetta da Sophos Firewall;
accesso a WebAdmin e Google Admin;
indirizzi utente del dominio Google Workspace, ad esempio user@example.com;
un nome DNS interno per il firewall, ad esempio chromebook-sso.example.com;
un certificato con chiave privata e una CA considerata attendibile dai Chromebook;
un server di autenticazione configurato sul firewall.

Per una distribuzione in produzione prevedibile, questa guida utilizza un Active Directory locale i cui utenti sono sincronizzati con Google Workspace. La voce attuale del Chrome Web Store indica esplicitamente questa combinazione. La guida di SFOS 22 menziona anche LDAP e Google Secure LDAP; questa variante deve quindi essere verificata prima con un gruppo pilota, prima che le regole basate sugli utenti ne dipendano. La configurazione dei servizi di directory è descritta in Collegare Active Directory a Sophos Firewall e Collegare un server LDAP a Sophos Firewall.

Sophos ha annunciato la nuova estensione Manifest V3 con SFOS 22.0 MR2. Tuttavia, l’attuale voce del Chrome Web Store indica SFOS 20.0 MR3 o versione successiva come requisito minimo. L’estensione non deve quindi essere considerata esclusiva di MR2; i percorsi dei menu e gli screenshot di questa guida si riferiscono comunque a SFOS 22.0 MR2.

Configurare Sophos Firewall

Preparare il certificato e il nome DNS

Il nome chromebook-sso.example.com deve essere risolto dal DNS interno all’indirizzo del firewall raggiungibile dai Chromebook. Creare o importare un certificato per questo nome in Certificates > Certificates.

Il certificato deve includere una chiave privata e una CA emittente presente sul firewall e non deve essere protetto da una passphrase. Inserire il nome FQDN sia come Subject Alternative Name (SAN) sia come Common Name (CN). Sophos richiede la corrispondenza con il CN; le versioni attuali di Chrome utilizzano il SAN per la verifica del nome host. Lo stesso FQDN verrà utilizzato in seguito come serverAddress.

In Hosts and services > FQDN host, creare inoltre un oggetto host per accounts.google.com. Questo oggetto verrà successivamente utilizzato insieme ai gruppi predefiniti Google API Hosts e Google Chrome Web Store nella regola di bootstrap.

Attivare Device Access e Chromebook SSO

Aprire Administration > Device access.
Attivare Chromebook SSO solo per le zone interne da cui si connettono i dispositivi gestiti, ad esempio LAN e Wi-Fi.
Aprire Authentication > Services > Chromebook SSO e attivare Enable.
In Domain, inserire il dominio Workspace example.com.
Impostare Port su 65123.
Selezionare il certificato per chromebook-sso.example.com.
Selezionare Download G Suite app config.
Aprire il file JSON in un editor di testo e impostare serverAddress su chromebook-sso.example.com. Quindi salvare il file.

Device Access consente l’accesso al servizio SSO locale del firewall. Una normale regola firewall non sostituisce questo passaggio. Viceversa, Device Access non consente ancora l’accesso Internet a Google. Questa separazione è spiegata in Device Access e Local Service ACL.

Creare due regole firewall

In Rules and policies > Firewall rules, creare due regole nel seguente ordine.

La prima regola, ad esempio Chromebook-Google-Bootstrap, consente la distribuzione dell’app e la comunicazione con Google:

Action: Accept
Source zones: LAN e/o Wi-Fi
Source networks: le reti dei Chromebook
Destination zones: WAN
Destination networks: l’oggetto personalizzato per accounts.google.com e i gruppi Google API Hosts e Google Chrome Web Store

Sotto di essa aggiungere la regola utente vera e propria, ad esempio Chromebook-Users:

Action: Accept
le stesse zone di origine e reti dei Chromebook
le destinazioni desiderate in WAN
Match known users: attivato
Use web authentication for unknown users: attivare solo se si desidera Captive Portal come soluzione di fallback
Log firewall traffic: attivato durante la fase pilota

La regola di bootstrap deve trovarsi sopra la regola utente. In caso contrario, l’estensione potrebbe non essere disponibile oppure OAuth potrebbe non riuscire prima che il firewall riconosca l’utente.

Configurare Google Workspace

Distribuire l’estensione

In Google Admin, aprire Devices > Chrome > Apps & extensions > Users & browsers.
Selezionare prima una OU pilota o un piccolo gruppo di test.
Selezionare Add > Add from Chrome Web Store.
Aggiungere Sophos Chromebook User ID e verificare l’ID dell’estensione kpgmhapilmiknabfjblafefhahodhjca.
Come Installation policy, selezionare almeno Force install.
In Policy for extensions, caricare il file JSON precedentemente modificato.
Salvare e attendere che il criterio venga applicato al dispositivo di test.

Per un’installazione esistente, non si tratta di un aggiornamento in-place: secondo Sophos, è necessario rimuovere la vecchia estensione e installare la nuova estensione Manifest V3. La migrazione deve essere eseguita prima in una OU pilota, in modo che le regole utente non passino a un criterio di fallback durante la temporanea assenza dell’identità. Ulteriori informazioni sono disponibili nella panoramica di SFOS 22.0 MR2.

Contrassegnare l’app OAuth come attendibile

Per evitare che OAuth venga bloccato:

Aprire Security > Access and data control > API controls.
In App access control, passare a Manage app access.
Aprire Accessed apps > View list e cercare Sophos User ID.
Selezionare Change access, definire l’ambito appropriato e selezionare Trusted.

Distribuire la CA locale a ChromeOS

Questo passaggio è necessario se il certificato SSO è stato emesso da una CA interna o firmata localmente che ChromeOS non considera ancora attendibile.

Sul firewall, in Certificates > Certificate authorities, scaricare la CA emittente ed estrarre il file PEM dall’archivio.
In Google Admin, aprire Devices > Networks > Certificates.
Caricare il file PEM con Upload certificate.
In Certificate authority, attivare l’utilizzo per Chromebook e salvare.

Verificare l’accesso e la corrispondenza delle regole

Sul dispositivo di test, aprire chrome://policy, selezionare Reload policies e verificare che il criterio dell’estensione sia stato ricevuto dal cloud.
Accedere nuovamente al Chromebook con un utente gestito come user@example.com.
Sul firewall, aprire Current activities > Live users. Devono essere visualizzati l’utente, l’IP client e il Client Type Chromebook SSO.
Aprire una connessione consentita da Chromebook-Users.
In Log viewer, verificare che venga applicata esattamente questa regola utente. Il solo accesso a Internet non lo dimostra, perché una regola più generica potrebbe comunque consentire il traffico.

Estendere il criterio ad altre OU solo quando sia il Live User sia il Rule Hit risultano corretti.

Individuare gli errori in modo mirato

L’estensione non è presente: verificare l’ID dell’estensione, la OU di destinazione, Installation policy e lo stato in chrome://policy.
OAuth non riesce: verificare che Sophos User ID sia classificata come Trusted per la OU corretta e che la regola di bootstrap possa raggiungere le destinazioni Google.
Errore TLS o di connessione: confrontare la risoluzione DNS, serverAddress, SAN, CN, catena di certificati e distribuzione della CA. Tutti i nomi devono puntare a chromebook-sso.example.com.
L’utente non compare in Live users: verificare il dominio Workspace, l’indirizzo utente, il server di autenticazione e Device Access.
L’utente è visibile, ma viene applicata la regola errata: verificare la posizione, la rete di origine, l’assegnazione utente e il logging della regola. La procedura sistematica è descritta in Perché una regola Sophos Firewall non viene applicata.
L’estensione continua a mostrare Connected dopo una disconnessione: con SFOS 21.5 GA e versioni successive, l’indicazione può rimanere obsoleta anche se la sessione sul firewall è terminata. Disconnettersi e riconnettersi nell’estensione oppure interrompere brevemente la connessione di rete del Chromebook. Per la verifica fa fede Live users.

Per i log di servizio, accedere alla CLI di Sophos Firewall tramite SSH e selezionare 5. Device Management > 3. Advanced Shell. I comandi seguenti eseguono solo operazioni di lettura e non modificano la configurazione:

tail -f /log/chromebook-sso-backend.log
tail -f /log/csd.log

Ripetere quindi l’accesso con l’utente di test e cercare nuove voci nello stesso momento. Con Ctrl+C si interrompe la visualizzazione in tempo reale. Una panoramica degli altri log di autenticazione è disponibile in Log di servizio di Sophos Firewall.

FAQ

Chromebook SSO funziona al di fuori della rete protetta?

No. Il Chromebook deve poter raggiungere l’indirizzo configurato del firewall nella rete protetta. Al di fuori di questa rete, l’estensione non può associare una sessione locale a questo firewall.

È possibile utilizzare il certificato Let's Encrypt integrato per Chromebook SSO?

No. Sophos esclude i certificati della funzione Let’s Encrypt integrata per il servizio Chromebook SSO. Utilizzare un certificato idoneo importato o firmato localmente; i limiti generali dei certificati sono descritti in Let’s Encrypt su Sophos Firewall.