Konfigurera Sophos Firewall Chromebook SSO med Google Workspace

Med Chromebook SSO rapporterar tillägget Sophos Chromebook User ID den inloggade Google Workspace-användaren till brandväggen. SFOS kan därefter tillämpa användarregler och visa sessionen under Current activities > Live users.

Processen består av fem delar: förbereda certifikatet och DNS-namnet, aktivera Chromebook SSO i Device Access, skapa SSO-inställningarna och två brandväggsregler, distribuera det aktuella tillägget via Google Admin och kontrollera resultatet med en testanvändare. Menyvägarna och fältnamnen i den här guiden gäller SFOS 22.0 och det aktuella Manifest V3-tillägget.

Förutsättningar

Följande behövs:

• hanterade Chromebook-enheter i ett nätverk som skyddas av Sophos Firewall;
• åtkomst till WebAdmin och Google Admin-behörighet för Chrome-appar, nätverk och API Controls;
• användaradresser från Google Workspace-domänen, till exempel user@example.com;
• ett internt DNS-namn för brandväggen, till exempel chromebook-sso.example.com;
• ett certifikat med privat nyckel och en certifikatutfärdare som Chromebook-enheterna litar på;
• en autentiseringsserver som är konfigurerad på brandväggen.

För en förutsägbar produktionsutrullning använder den här guiden en lokal Active Directory vars användare synkroniseras med Google Workspace. Den aktuella posten i Chrome Web Store anger uttryckligen den här kombinationen. Hjälpen för SFOS 22 nämner även LDAP och Google Secure LDAP. Den varianten bör därför först testas med en pilotgrupp innan användarbaserade regler blir beroende av den. Konfigurationen av katalogtjänster beskrivs i Ansluta Active Directory till Sophos Firewall och Ansluta en LDAP-server till Sophos Firewall.

Sophos presenterade det nya Manifest V3-tillägget med SFOS 22.0 MR2. Den aktuella posten i Chrome Web Store anger däremot SFOS 20.0 MR3 eller senare som lägsta version. Tillägget ska därför inte betraktas som exklusivt för MR2. För inställningarna som dokumenteras här är SFOS 22.0 vägledande.

Konfigurera Sophos Firewall

Förbereda certifikatet och DNS-namnet

Namnet chromebook-sso.example.com måste i intern DNS peka på den brandväggsadress som Chromebook-enheterna kan nå. Skapa eller importera ett certifikat för det här namnet under Certificates > Certificates.

Certifikatet behöver en privat nyckel och en utfärdande certifikatutfärdare som finns på brandväggen, och får inte skyddas med en lösenfras. Ange FQDN både som Subject Alternative Name (SAN) och Common Name (CN). Sophos kräver att namnet matchar CN. Aktuella Chrome-versioner använder SAN för verifiering av värdnamnet. Samma FQDN används senare som serverAddress.

Skapa dessutom ett värdobjekt för accounts.google.com under Hosts and services > FQDN host. Objektet används senare tillsammans med de fördefinierade grupperna Google API Hosts och Google Chrome Web Store i bootstrap-regeln.

Aktivera Device Access och Chromebook SSO

1. Öppna Administration > Device access.
2. Aktivera Chromebook SSO endast för de interna zoner som de hanterade enheterna ansluter från, till exempel LAN och Wi-Fi.
3. Öppna Authentication > Services > Chromebook SSO och aktivera Enable.
4. Ange Workspace-domänen example.com under Domain.
5. Ställ in Port på 65123.
6. Välj certifikatet för chromebook-sso.example.com.
7. Välj Download G Suite app config.
8. Öppna JSON-filen i en textredigerare och ställ in serverAddress på chromebook-sso.example.com. Spara sedan filen.

Device Access tillåter åtkomst till brandväggens lokala SSO-tjänst. En vanlig brandväggsregel ersätter inte det här steget. Omvänt tillåter Device Access ännu inte internetåtkomst till Google. Den här uppdelningen förklaras i Device Access och Local Service ACL.

Skapa två brandväggsregler

Skapa två regler i följande ordning under Rules and policies > Firewall rules.

Den första regeln, till exempel Chromebook-Google-Bootstrap, tillåter distribution av appen och kommunikation med Google:

• Action: Accept
• Source zones: LAN och/eller Wi-Fi
• Source networks: Chromebook-nätverken
• Destination zones: WAN
• Destination networks: det egna objektet för accounts.google.com samt Google API Hosts och Google Chrome Web Store

Lägg till den egentliga användarregeln under den, till exempel Chromebook-Users:

• Action: Accept
• samma källzoner och Chromebook-nätverk
• önskade destinationer i WAN
• Match known users: aktiverat
• Use web authentication for unknown users: aktivera endast om Captive Portal ska användas som reservlösning
• Log firewall traffic: aktiverat under pilotfasen

Bootstrap-regeln måste ligga ovanför användarregeln. Annars kan tillägget saknas eller OAuth misslyckas innan brandväggen känner till användaren.

Konfigurera Google Workspace

Google kan ändra menynamn och dialogrutor i administratörskonsolen. Om gränssnittet skiljer sig, kontrollera särskilt den valda omfattningen, installationspolicyn och API-åtkomsten och bekräfta alla ändringar före utrullningen.

Distribuera tillägget

1. Öppna Devices > Chrome > Apps & extensions > Users & browsers i Google Admin.
2. Välj först en pilot-OU eller en liten testgrupp.
3. Välj Add > Add from Chrome Web Store.
4. Lägg till Sophos Chromebook User ID och kontrollera tilläggs-ID:t kpgmhapilmiknabfjblafefhahodhjca.
5. Välj Force install som Installation policy. Det installerar tillägget automatiskt inom den valda omfattningen och hindrar användarna från att ta bort det. Välj vid behov Force install + pin to browser toolbar om ikonen även ska visas i webbläsarens verktygsfält; fästning krävs inte för den här proceduren.
6. Ladda upp den tidigare anpassade JSON-filen under Policy for extensions.
7. Spara och vänta tills policyn har tillämpats på testenheten.

För en befintlig installation är det här inte en in-place-uppdatering. Enligt Sophos måste det gamla tillägget tas bort och det nya Manifest V3-tillägget installeras. Migreringen bör först utföras i en pilot-OU så att användarregler inte övergår till en reservpolicy när identiteten tillfälligt saknas. Mer information finns i översikten över SFOS 22.0 MR2.

Markera OAuth-appen som betrodd

Så här förhindrar man att OAuth blockeras:

1. Öppna Security > Access and data control > API controls.
2. Gå till Manage app access under App access control.
3. Öppna Accessed apps > View list och sök efter Sophos User ID.
4. Välj Change access, ange lämplig omfattning och klicka på Next.
5. Välj Trusted och klicka på Next igen.
6. Bekräfta slutligen ändringen med Change access. Att bara välja Trusted slutför inte proceduren.

Distribuera den lokala certifikatutfärdaren till ChromeOS

Det här steget krävs om SSO-certifikatet utfärdades av en intern eller lokalt signerad certifikatutfärdare som ChromeOS ännu inte litar på.

1. Ladda ned den utfärdande certifikatutfärdaren under Certificates > Certificate authorities på brandväggen och extrahera PEM-filen från arkivet. För ett certifikat som skapats på brandväggen som Locally-signed är detta certifikatutfärdaren Default. För ett importerat certifikat använder man i stället dess faktiska certifikatutfärdare.
2. Öppna Devices > Networks > Certificates i Google Admin och välj pilot-OU:n.
3. Välj Create certificate, ange ett unikt namn och välj PEM-filen under Upload. Filen måste innehålla exakt ett certifikat. DER-filer godtas inte.
4. Aktivera användning för Chromebook under Certificate Authority och spara med Add.

Kontrollera inloggning och regelmatchning

1. Öppna chrome://policy på testenheten, välj Reload policies och kontrollera att tilläggspolicyn har tagits emot från molnet.
2. Logga in på Chromebook-enheten igen med en hanterad användare, till exempel user@example.com.
3. Öppna Current activities > Live users på brandväggen. Användaren, klientens IP-adress och Client Type Chromebook SSO måste visas.
4. Öppna en anslutning som tillåts av Chromebook-Users.
5. Kontrollera i Log viewer att just den här användarregeln matchades. En fungerande internetanslutning räcker inte som bevis, eftersom en mer allmän regel också kan tillåta trafiken.

Rulla inte ut policyn till fler OU:er förrän både Live User och Rule Hit är korrekta.

Återställ på ett säkert sätt

Vid en återställning ska den tidigare åtkomstvägen återställas innan det hanterade tillägget inaktiveras eller tas bort. Att stoppa SSO är inte samma sak som verifierad avinstallation eller dataradering. Stäng den lokala SSO-tjänsten först när policyn har fått effekt på de berörda enheterna och ingen SSO-session finns kvar. Då uppstår inget avbrott medan identiteten saknas.

1. Stoppa den fortsatta utrullningen och välj berörd pilot-OU under Devices > Chrome > Apps & extensions > Users & browsers i Google Admin.
2. Återställ den tidigare internet- eller reservregeln för berörda Chromebook-nätverk och kontrollera regelträffen på en pilotenhet.
3. Öppna Sophos Chromebook User ID, ställ in Installation policy på Block och spara. I översikten över installationspolicyer beskriver Google Block som ett alternativ som förhindrar nya installationer och inaktiverar redan installerade tillägg. Behåll bootstrap-regeln tills de berörda enheterna har tagit emot policyn och dess effekt har kontrollerats. Läs in policyerna igen på testenheten via chrome://policy och kontrollera därefter under chrome://extensions att tillägget inte längre är aktivt. En policyuppdatering i sig bevisar varken avinstallation eller radering av tillhörande användardata.
4. Först när policyn har fått effekt på de berörda enheterna och Current activities > Live users inte längre visar någon Chromebook SSO-session inaktiverar man tjänsten under Authentication > Services > Chromebook SSO och tar bort åtkomsten för berörda zoner under Administration > Device access.
5. Ta bara bort Chromebook-Google-Bootstrap, FQDN-objektet och certifikatutfärdaren om ingen annan regel, app eller certifikatkedja använder dem. Det gamla Manifest V2-tillägget är inte ett återställningsalternativ: Från Chrome 139 stöds Manifest V2 inte längre, inte heller med den tidigare undantagspolicyn för företag.

Om även borttagning krävs följer man den borttagningspolicy som stöds för detta tillägg i den egna miljön (tenant). Google beskriver Block, uninstall from Chrome separat som borttagning utan omstart av webbläsaren; tillgängliga policyer beror på apptyp och omfattning. Avsnittet Remove apps anger däremot Block och borttagning av appen och tillhörande användardata vid nästa ChromeOS-inloggning. Dessa beskrivningar är inte likvärdiga. Logga därför ut från och in på Chromebook-enheten igen enligt dokumentationen där det är tillämpligt och kontrollera tilläggets faktiska tillstånd under chrome://extensions. Ett inaktiverat tillägg är inte bevisligen borttaget; inte heller dess frånvaro bevisar i sig att alla data har raderats. Eventuell nödvändig datarensning måste verifieras separat enligt den tillämpliga dokumenterade proceduren.

Efter återställningen kontrollerar man den förväntade internetåtkomsten på en pilotenhet och träffen på den återställda regeln i Log viewer. Det bekräftar att den tidigare åtkomstvägen används och inte en oväntat bred regel.

Avgränsa fel metodiskt

• Tillägget saknas: kontrollera tilläggs-ID, mål-OU, Installation policy och statusen under chrome://policy.
• OAuth misslyckas: kontrollera att Sophos User ID har klassificerats som Trusted för rätt OU och att bootstrap-regeln kan nå Google-destinationerna. Under Accessed apps kan det ta 24 till 48 timmar innan appinformationen visas efter den första auktoriseringen.
• TLS- eller anslutningsfel: jämför DNS-upplösning, serverAddress, SAN, CN, certifikatkedja och CA-distribution. Alla namn måste peka på chromebook-sso.example.com.
• Användaren saknas under Live users: kontrollera Workspace-domänen, användaradressen, autentiseringsservern och Device Access.
• Användaren visas, men fel regel matchas: kontrollera regelns placering, källnätverk, användarkoppling och loggning. Den systematiska kontrollen beskrivs i Varför en Sophos Firewall-regel inte matchar.
• Tillägget fortsätter att visa Connected efter en frånkoppling: i SFOS 21.5 GA och senare kan visningen förbli inaktuell trots att sessionen på brandväggen har avslutats. Logga ut ur och in i tillägget igen, eller bryt Chromebook-enhetens nätverksanslutning en kort stund. Live users är avgörande för kontrollen.

För att läsa tjänsteloggarna loggar man in på Sophos Firewall CLI via SSH och väljer 5. Device Management > 3. Advanced Shell. Följande kommandon läser endast data och ändrar inte konfigurationen:

tail -f /log/chromebook-sso-backend.log
tail -f /log/csd.log

Upprepa sedan inloggningen med testanvändaren och leta efter nya poster vid samma tidpunkt. Ctrl+C avslutar liveutmatningen. En översikt över fler autentiseringsloggar finns i Sophos Firewall-tjänsteloggar.

FAQ