Configurar o Chromebook SSO na Sophos Firewall com o Google Workspace

Com o Chromebook SSO, a extensão Sophos Chromebook User ID comunica à firewall o utilizador com sessão iniciada no Google Workspace. O SFOS pode então aplicar regras baseadas em utilizadores e apresentar a sessão em Current activities > Live users.

O processo consiste em cinco partes: preparar o certificado e o nome DNS, ativar o Chromebook SSO em Device Access, criar as definições de SSO e duas regras de firewall, distribuir a extensão atual através do Google Admin e verificar o resultado com um utilizador de teste. Este guia segue o SFOS 22.0 MR2 e a extensão Manifest V3 atual.

Pré-requisitos

São necessários:

Chromebooks geridos numa rede protegida pela Sophos Firewall;
acesso ao WebAdmin e ao Google Admin;
endereços de utilizadores do domínio do Google Workspace, por exemplo user@example.com;
um nome DNS interno para a firewall, por exemplo chromebook-sso.example.com;
um certificado com uma chave privada e uma CA considerada fidedigna pelos Chromebooks;
um servidor de autenticação configurado na firewall.

Para uma implementação em produção previsível, este guia utiliza um Active Directory local cujos utilizadores estão sincronizados com o Google Workspace. A entrada atual da Chrome Web Store menciona explicitamente esta combinação. A ajuda do SFOS 22 também menciona LDAP e Google Secure LDAP; por isso, esta variante deve ser testada primeiro com um grupo-piloto antes de as regras baseadas em utilizadores dependerem dela. A configuração dos serviços de diretório é descrita em Ligar o Active Directory à Sophos Firewall e Ligar um servidor LDAP à Sophos Firewall.

A Sophos anunciou a nova extensão Manifest V3 com o SFOS 22.0 MR2. No entanto, a entrada atual da Chrome Web Store indica o SFOS 20.0 MR3 ou posterior como versão mínima. Por conseguinte, a extensão não deve ser entendida como exclusiva do MR2; no entanto, os caminhos dos menus e as capturas de ecrã deste guia referem-se ao SFOS 22.0 MR2.

Configurar a Sophos Firewall

Preparar o certificado e o nome DNS

O nome chromebook-sso.example.com deve ser resolvido no DNS interno para o endereço da firewall acessível aos Chromebooks. Deve ser criado ou importado um certificado para este nome em Certificates > Certificates.

O certificado necessita de uma chave privada e de uma CA emissora presente na firewall, e não pode estar protegido por uma frase-passe. Deve introduzir-se o FQDN tanto como Subject Alternative Name (SAN) como Common Name (CN). A Sophos exige uma correspondência com o CN; o Chrome atual utiliza o SAN para verificar o nome do anfitrião. O mesmo FQDN será utilizado posteriormente como serverAddress.

Em Hosts and services > FQDN host, deve também ser criado um objeto de anfitrião para accounts.google.com. Este objeto será posteriormente utilizado em conjunto com os grupos predefinidos Google API Hosts e Google Chrome Web Store na regra de arranque.

Ativar Device Access e Chromebook SSO

Abrir Administration > Device access.
Ativar Chromebook SSO apenas para as zonas internas a partir das quais os dispositivos geridos se ligam, por exemplo LAN e Wi-Fi.
Abrir Authentication > Services > Chromebook SSO e ativar Enable.
Em Domain, introduzir o domínio do Workspace example.com.
Definir Port como 65123.
Selecionar o certificado para chromebook-sso.example.com.
Selecionar Download G Suite app config.
Abrir o ficheiro JSON num editor de texto e definir serverAddress como chromebook-sso.example.com. Em seguida, guardar o ficheiro.

Device Access permite o acesso ao serviço SSO local da firewall. Uma regra de firewall normal não substitui este passo. Inversamente, Device Access ainda não permite o acesso à Internet para comunicar com o Google. Esta separação é explicada em Device Access e Local Service ACL.

Criar duas regras de firewall

Em Rules and policies > Firewall rules, devem ser criadas duas regras pela seguinte ordem.

A primeira regra, por exemplo Chromebook-Google-Bootstrap, permite a distribuição da aplicação e a comunicação com o Google:

Action: Accept
Source zones: LAN e/ou Wi-Fi
Source networks: as redes dos Chromebooks
Destination zones: WAN
Destination networks: o objeto próprio para accounts.google.com, bem como Google API Hosts e Google Chrome Web Store

Abaixo, deve ser adicionada a regra de utilizador propriamente dita, por exemplo Chromebook-Users:

Action: Accept
as mesmas zonas de origem e redes dos Chromebooks
os destinos pretendidos em WAN
Match known users: ativado
Use web authentication for unknown users: ativar apenas se Captive Portal for necessário como alternativa
Log firewall traffic: ativado durante a fase-piloto

A regra de arranque deve estar acima da regra de utilizador. Caso contrário, a extensão pode estar em falta ou o OAuth pode falhar antes de a firewall conhecer o utilizador.

Configurar o Google Workspace

Distribuir a extensão

No Google Admin, abrir Devices > Chrome > Apps & extensions > Users & browsers.
Selecionar primeiro uma OU piloto ou um pequeno grupo de teste.
Selecionar Add > Add from Chrome Web Store.
Adicionar Sophos Chromebook User ID e verificar o ID da extensão kpgmhapilmiknabfjblafefhahodhjca.
Em Installation policy, selecionar pelo menos Force install.
Em Policy for extensions, carregar o ficheiro JSON anteriormente ajustado.
Guardar e aguardar que a política seja aplicada ao dispositivo de teste.

Numa instalação existente, não se trata de uma atualização in-place: segundo a Sophos, a extensão antiga deve ser removida e a nova extensão Manifest V3 instalada. A migração deve ser efetuada primeiro numa OU piloto, para que as regras de utilizador não recorram a uma política alternativa enquanto a identidade estiver temporariamente indisponível. Estão disponíveis mais informações na visão geral do SFOS 22.0 MR2.

Marcar a aplicação OAuth como fidedigna

Para evitar que o OAuth seja bloqueado:

Abrir Security > Access and data control > API controls.
Em App access control, aceder a Manage app access.
Abrir Accessed apps > View list e procurar Sophos User ID.
Selecionar Change access, definir o âmbito adequado e selecionar Trusted.

Distribuir a CA local ao ChromeOS

Este passo é necessário se o certificado SSO tiver sido emitido por uma CA interna ou assinada localmente na qual o ChromeOS ainda não confia.

Na firewall, em Certificates > Certificate authorities, transferir a CA emissora e extrair o ficheiro PEM do arquivo.
No Google Admin, abrir Devices > Networks > Certificates.
Carregar o ficheiro PEM com Upload certificate.
Em Certificate authority, ativar a utilização para Chromebook e guardar.

Verificar o início de sessão e a correspondência das regras

No dispositivo de teste, abrir chrome://policy, selecionar Reload policies e verificar se a política da extensão foi recebida da cloud.
Iniciar novamente sessão no Chromebook com um utilizador gerido, como user@example.com.
Na firewall, abrir Current activities > Live users. Devem aparecer o utilizador, o IP do cliente e o Client Type Chromebook SSO.
Abrir uma ligação permitida por Chromebook-Users.
Em Log viewer, verificar se foi aplicada exatamente esta regra de utilizador. O simples funcionamento do acesso à Internet não o comprova, pois uma regra mais geral também pode permitir o tráfego.

A política só deve ser distribuída a outras OUs quando tanto o Live User como o Rule Hit estiverem corretos.

Identificar erros de forma específica

A extensão está em falta: verificar o ID da extensão, a OU de destino, Installation policy e o estado em chrome://policy.
O OAuth falha: verificar se Sophos User ID está classificada como Trusted para a OU correta e se a regra de arranque consegue alcançar os destinos do Google.
Erro de TLS ou de ligação: comparar a resolução DNS, serverAddress, SAN, CN, a cadeia de certificados e a distribuição da CA. Todos os nomes devem apontar para chromebook-sso.example.com.
O utilizador não aparece em Live users: verificar o domínio do Workspace, o endereço do utilizador, o servidor de autenticação e Device Access.
O utilizador está visível, mas é aplicada a regra errada: verificar a posição, a rede de origem, a associação do utilizador e o registo da regra. A verificação sistemática é explicada em Porque uma regra da Sophos Firewall não é aplicada.
A extensão continua a apresentar Connected após uma desconexão: no SFOS 21.5 GA e posterior, a indicação pode permanecer desatualizada apesar de a sessão na firewall ter terminado. Terminar e voltar a iniciar sessão na extensão ou interromper brevemente a ligação de rede do Chromebook. Para a verificação, Live users é a referência.

Para consultar os registos do serviço, deve iniciar-se sessão por SSH na CLI da Sophos Firewall e selecionar 5. Device Management > 3. Advanced Shell. Os comandos seguintes apenas leem dados e não alteram a configuração:

tail -f /log/chromebook-sso-backend.log
tail -f /log/csd.log

Em seguida, repetir o início de sessão com o utilizador de teste e procurar novas entradas no mesmo momento. Ctrl+C termina a saída em direto. Está disponível uma visão geral de outros registos de autenticação em Registos de serviço da Sophos Firewall.

FAQ

O Chromebook SSO funciona fora da rede protegida?

Não. O Chromebook tem de conseguir alcançar o endereço configurado da firewall na rede protegida. Fora desta rede, a extensão não consegue associar uma sessão local a esta firewall.

É possível utilizar o certificado Let's Encrypt integrado para o Chromebook SSO?

Não. A Sophos exclui certificados da funcionalidade Let’s Encrypt integrada para o serviço Chromebook SSO. Deve ser utilizado um certificado importado ou assinado localmente adequado; as limitações gerais dos certificados são explicadas em Let’s Encrypt na Sophos Firewall.