Trang này được dịch bởi Cloud Translation API.

chrome.enterprise.platformKeys

Mô tả

Sử dụng API chrome.enterprise.platformKeys để tạo khoá và cài đặt chứng chỉ cho những khoá này. Chứng chỉ sẽ do nền tảng quản lý và có thể được dùng để xác thực TLS, truy cập mạng hoặc dùng tiện ích khác thông qua chrome.platformKeys.

Quyền

enterprise.platformKeys

Phạm vi cung cấp

Chỉ ChromeOS Yêu cầu chính sách

Khái niệm và cách sử dụng

Thông thường, cách sử dụng API này để đăng ký chứng chỉ ứng dụng khách tuân theo các bước sau:

Lấy tất cả mã thông báo có sẵn bằng enterprise.platformKeys.getTokens().
Tìm mã thông báo có id bằng "user". Sử dụng Mã thông báo này sau đó.
Tạo một cặp khoá bằng phương thức Mã thông báo generateKey() (được xác định trong SubtleCrypto). Thao tác này sẽ trả về tên người dùng cho khoá.
Xuất khoá công khai bằng phương thức Mã thông báo exportKey() (được xác định trong SubtleCrypto).
Tạo chữ ký của dữ liệu của yêu cầu chứng nhận bằng phương thức Mã thông báo sign() (được định nghĩa trong SubtleCrypto).
Hoàn tất yêu cầu chứng nhận và gửi đến tổ chức phát hành chứng nhận.
Nếu nhận được chứng chỉ, hãy nhập chứng chỉ đó bằng cách sử dụng [enterprise.platformKeys.importCertificate()`[3]

Dưới đây là ví dụ minh hoạ các hoạt động tương tác chính với API, ngoại trừ việc tạo và gửi yêu cầu chứng nhận:

function getUserToken(callback) {
  chrome.enterprise.platformKeys.getTokens(function(tokens) {
    for (var i = 0; i < tokens.length; i++) {
      if (tokens[i].id == "user") {
        callback(tokens[i]);
        return;
      }
    }
    callback(undefined);
  });
}

function generateAndSign(userToken) {
  var data = new Uint8Array([0, 5, 1, 2, 3, 4, 5, 6]);
  var algorithm = {
    name: "RSASSA-PKCS1-v1_5",
    // RsaHashedKeyGenParams
    modulusLength: 2048,
    publicExponent:
        new Uint8Array([0x01, 0x00, 0x01]),  // Equivalent to 65537
    hash: {
      name: "SHA-256",
    }
  };
  var cachedKeyPair;
  userToken.subtleCrypto.generateKey(algorithm, false, ["sign"])
    .then(function(keyPair) {
            cachedKeyPair = keyPair;
            return userToken.subtleCrypto.exportKey("spki", keyPair.publicKey);
          },
          console.log.bind(console))
    .then(function(publicKeySpki) {
            // Build the Certification Request using the public key.
            return userToken.subtleCrypto.sign(
                {name : "RSASSA-PKCS1-v1_5"}, cachedKeyPair.privateKey, data);
          },
          console.log.bind(console))
    .then(function(signature) {
              // Complete the Certification Request with |signature|.
              // Send out the request to the CA, calling back
              // onClientCertificateReceived.
          },
          console.log.bind(console));
}

function onClientCertificateReceived(userToken, certificate) {
  chrome.enterprise.platformKeys.importCertificate(userToken.id, certificate);
}

getUserToken(generateAndSign);

Loại

Algorithm

Chrome 110 trở lên

Loại khoá để tạo.

Enum

ChallengeKeyOptions

Chrome 110 trở lên

Thuộc tính

thử thách

ArrayBuffer

Một thử thách do API Web truy cập đã xác minh phát ra.
registerKey

RegisterKeyOptions không bắt buộc

Đăng ký khoá bị thách thức bằng mã thông báo của scope đã chỉ định (nếu có). Sau đó, bạn có thể liên kết khoá này với một chứng chỉ và sử dụng như mọi khoá ký khác. Sau đó, các lệnh gọi tiếp theo đến hàm này sẽ tạo một Khoá doanh nghiệp mới trong scope được chỉ định.
phạm vi

Phạm vi

Loại khóa doanh nghiệp cần thách thức.

RegisterKeyOptions

Chrome 110 trở lên

Thuộc tính

thuật toán

Thuật toán

Thuật toán mà khoá đã đăng ký sẽ sử dụng.

Scope

Chrome 110 trở lên

Liệu nên sử dụng Khoá người dùng dành cho doanh nghiệp hay Khoá máy dành cho doanh nghiệp.

Enum

"USER"

Token

Thuộc tính

id

string

Xác định duy nhất Token này.

Mã nhận dạng tĩnh là "user" và "system", tương ứng với mã thông báo phần cứng trên toàn hệ thống và mã thông báo dành riêng cho người dùng của nền tảng. enterprise.platformKeys.getTokens có thể trả về mã thông báo khác (có giá trị nhận dạng khác).
softwareBackedSubtleCrypto

SubtleCrypto

Chrome 97 trở lên

Triển khai giao diện SubtleCrypto của WebCrypto. Các hoạt động mã hoá, bao gồm cả việc tạo khoá, được hỗ trợ bằng phần mềm. Việc bảo vệ khoá và triển khai thuộc tính không thể trích xuất được thực hiện trong phần mềm, do đó, các khoá này được bảo vệ kém hơn so với khoá dựa trên phần cứng.

Bạn chỉ có thể tạo các khoá RSASSA-PKCS1-V1_5 không thể trích xuất với modulusLength tối đa là 2048. Mỗi khoá chỉ có thể dùng để ký dữ liệu tối đa một lần.

Bạn không thể dùng các khoá được tạo trên một Token cụ thể với bất kỳ Mã thông báo nào khác cũng như không thể dùng với window.crypto.subtle. Tương tự, bạn không thể sử dụng các đối tượng Key được tạo bằng window.crypto.subtle với giao diện này.
subtleCrypto

SubtleCrypto

Triển khai giao diện SubtleCrypto của WebCrypto. Các hoạt động mã hoá, bao gồm cả việc tạo khoá, đều dựa trên phần cứng.

Bạn chỉ có thể tạo các khoá RSASSA-PKCS1-V1_5 không thể giải nén có modulusLength cho đến 2048 và ECDSA với namedCurve P-256. Bạn có thể dùng mỗi khoá để ký dữ liệu tối đa một lần.

Bạn không thể dùng các khoá được tạo trên một Token cụ thể với bất kỳ Mã thông báo nào khác cũng như không thể dùng với window.crypto.subtle. Tương tự, bạn không thể sử dụng các đối tượng Key được tạo bằng window.crypto.subtle với giao diện này.

Phương thức

challengeKey()

Lời hứa Chrome 110 trở lên

chrome.enterprise.platformKeys.challengeKey(
  options: ChallengeKeyOptions,
  callback?: function,
)

Tương tự như challengeMachineKey và challengeUserKey, nhưng cho phép chỉ định thuật toán của khoá đã đăng ký. Đưa ra thách thức cho Khoá máy doanh nghiệp dựa trên phần cứng và phát ra phản hồi trong giao thức chứng thực từ xa. Chỉ hữu ích trên ChromeOS và kết hợp với API Web truy cập đã xác minh. API này vừa đưa ra thử thách vừa xác minh phản hồi.

Việc xác minh thành công bằng Verified Access Web API là một tín hiệu rõ ràng cho thấy thiết bị hiện tại là thiết bị ChromeOS hợp lệ, thiết bị hiện tại do miền được chỉ định trong quá trình xác minh quản lý, người dùng đã đăng nhập hiện tại do miền được chỉ định trong quá trình xác minh quản lý và trạng thái thiết bị hiện tại tuân thủ chính sách của doanh nghiệp đối với thiết bị. Ví dụ: một chính sách có thể quy định rằng không được đặt thiết bị ở chế độ nhà phát triển. Mọi thông tin nhận dạng thiết bị do quy trình xác minh đưa ra đều được liên kết chặt chẽ với phần cứng của thiết bị hiện tại. Nếu bạn chỉ định Phạm vi "user", thì danh tính cũng được liên kết chặt chẽ với người dùng đang đăng nhập.

Hàm này bị hạn chế nghiêm ngặt và sẽ không thành công nếu thiết bị hiện tại không được quản lý, người dùng hiện tại không được quản lý hoặc nếu chính sách thiết bị doanh nghiệp chưa bật rõ ràng thao tác này cho phương thức gọi. Khoá được thử thách không nằm trong mã thông báo "system" hoặc "user" và không API nào khác cũng không thể truy cập được.

Thông số

tùy chọn

ChallengeKeyOptions

Đối tượng chứa các trường được xác định trong ChallengeKeyOptions.
lệnh gọi lại

hàm không bắt buộc

Tham số callback có dạng như sau:
```
(response: ArrayBuffer) => void
```
- phản hồi
  
  ArrayBuffer
  
  Câu trả lời cho thử thách.

Giá trị trả về

Promise<ArrayBuffer>

Đang chờ xử lý

Lời hứa được hỗ trợ trong Manifest V3 trở lên nhưng lệnh gọi lại được cung cấp cho khả năng tương thích ngược. Bạn không thể sử dụng cả hai trong cùng một lệnh gọi hàm. Chiến lược phát hành đĩa đơn Promise phân giải cùng loại được truyền đến lệnh gọi lại.

challengeMachineKey()

Lời hứa Chrome 50 trở lên Không được dùng nữa kể từ Chrome 110

chrome.enterprise.platformKeys.challengeMachineKey(
  challenge: ArrayBuffer,
  registerKey?: boolean,
  callback?: function,
)

Thay vào đó, hãy sử dụng challengeKey.

Thử thách Khoá máy dành cho doanh nghiệp dựa trên phần cứng và phát phản hồi dưới dạng một phần của giao thức chứng thực từ xa. Chỉ hữu ích trên ChromeOS và kết hợp với API Web của tính năng Quyền truy cập được xác minh, API này vừa đưa ra câu đố vừa xác minh câu trả lời. Việc xác minh thành công bằng API Web Access truy cập đã xác minh là tín hiệu rõ ràng cho thấy tất cả những điều sau: * Thiết bị hiện tại là thiết bị ChromeOS hợp lệ. * Thiết bị hiện tại do miền được chỉ định trong quá trình xác minh quản lý. * Người dùng đang đăng nhập hiện tại được quản lý bởi miền được chỉ định trong quá trình xác minh. * Trạng thái thiết bị hiện tại tuân thủ chính sách thiết bị của doanh nghiệp. Ví dụ: một chính sách có thể quy định rằng không được đặt thiết bị ở chế độ nhà phát triển. * Mọi thông tin nhận dạng thiết bị do quy trình xác minh cung cấp đều được liên kết chặt chẽ với phần cứng của thiết bị hiện tại. Hàm này bị hạn chế nghiêm ngặt và sẽ không thành công nếu thiết bị hiện tại không được quản lý, người dùng hiện tại không được quản lý hoặc nếu chính sách thiết bị doanh nghiệp chưa bật rõ ràng thao tác này cho phương thức gọi. Khoá máy dành cho doanh nghiệp không nằm trong mã thông báo "system" và bất kỳ API nào khác không thể truy cập được.

Thông số

thử thách

ArrayBuffer

Một thử thách do API Web truy cập đã xác minh phát ra.
registerKey

boolean không bắt buộc

Chrome 59 trở lên

Nếu được đặt, Khoá máy dành cho doanh nghiệp hiện tại sẽ được đăng ký bằng mã thông báo "system" và từ bỏ vai trò Khoá máy dành cho doanh nghiệp. Sau đó, bạn có thể liên kết khoá này với một chứng chỉ và sử dụng như mọi khoá ký khác. Khoá này là RSA 2048 bit. Các lệnh gọi tiếp theo đến hàm này sẽ tạo một Khoá máy dành cho doanh nghiệp mới.
số gọi lại

hàm không bắt buộc

Tham số callback sẽ có dạng như sau:
```
(response: ArrayBuffer) => void
```
- phản hồi
  
  ArrayBuffer
  
  Câu trả lời cho thử thách.

Giá trị trả về

Promise<ArrayBuffer>

Đang chờ xử lý

Lời hứa được hỗ trợ trong Manifest V3 trở lên nhưng lệnh gọi lại được cung cấp cho khả năng tương thích ngược. Bạn không thể sử dụng cả hai trong cùng một lệnh gọi hàm. Chiến lược phát hành đĩa đơn Promise phân giải cùng loại được truyền đến lệnh gọi lại.

challengeUserKey()

Lời hứa Chrome 50 trở lên Không được dùng nữa kể từ Chrome 110

chrome.enterprise.platformKeys.challengeUserKey(
  challenge: ArrayBuffer,
  registerKey: boolean,
  callback?: function,
)

Thay vào đó, hãy sử dụng challengeKey.

Đưa ra thách thức cho Khoá người dùng doanh nghiệp dựa trên phần cứng và phát ra phản hồi trong giao thức chứng thực từ xa. Chỉ hữu ích trên ChromeOS và kết hợp với API Web Access đã xác minh. API này vừa đưa ra thử thách vừa xác minh phản hồi. Việc xác minh thành công bằng API Web Access truy cập đã xác minh là tín hiệu rõ ràng cho thấy tất cả những điều sau: * Thiết bị hiện tại là thiết bị ChromeOS hợp lệ. * Thiết bị hiện tại do miền đã chỉ định trong quá trình xác minh quản lý. * Người dùng hiện đang đăng nhập được quản lý bởi miền được chỉ định trong quá trình xác minh. * Trạng thái thiết bị hiện tại tuân thủ chính sách dành cho người dùng doanh nghiệp. Ví dụ: một chính sách có thể chỉ định rằng thiết bị không được ở chế độ nhà phát triển. * Khoá công khai do quy trình xác minh phát ra được liên kết chặt chẽ với phần cứng của thiết bị hiện tại và với người dùng đã đăng nhập hiện tại. Hàm này bị hạn chế nghiêm ngặt và sẽ không thành công nếu thiết bị hiện tại không được quản lý, người dùng hiện tại không được quản lý hoặc nếu chính sách người dùng doanh nghiệp chưa bật rõ ràng thao tác này cho phương thức gọi. Khoá người dùng doanh nghiệp không nằm trong mã thông báo "user" và không API nào khác có thể truy cập được.

Thông số

thử thách

ArrayBuffer

Một thử thách do API Web truy cập đã xác minh phát ra.
registerKey

boolean

Nếu được đặt, Khoá người dùng doanh nghiệp hiện tại sẽ được đăng ký bằng mã thông báo "user" và từ bỏ vai trò Khoá người dùng doanh nghiệp. Sau đó, bạn có thể liên kết khoá này với một chứng chỉ và sử dụng như mọi khoá ký khác. Khoá này là RSA 2048 bit. Các lệnh gọi tiếp theo đối với hàm này sẽ tạo một Khoá người dùng doanh nghiệp mới.
lệnh gọi lại

hàm không bắt buộc

Tham số callback sẽ có dạng như sau:
```
(response: ArrayBuffer) => void
```
- phản hồi
  
  ArrayBuffer
  
  Câu trả lời cho thử thách.

Giá trị trả về

Promise<ArrayBuffer>

Đang chờ xử lý

Lời hứa được hỗ trợ trong Manifest V3 trở lên nhưng lệnh gọi lại được cung cấp cho khả năng tương thích ngược. Bạn không thể sử dụng cả hai trong cùng một lệnh gọi hàm. Chiến lược phát hành đĩa đơn Promise phân giải cùng loại được truyền đến lệnh gọi lại.

getCertificates()

Lời hứa

chrome.enterprise.platformKeys.getCertificates(
  tokenId: string,
  callback?: function,
)

Trả về danh sách tất cả chứng chỉ ứng dụng có sẵn từ mã thông báo đã cho. Có thể dùng để kiểm tra sự tồn tại và thời gian hết hạn của các chứng chỉ ứng dụng có thể dùng cho một quy trình xác thực nhất định.

Thông số

tokenId

string

Mã nhận dạng của Mã thông báo do getTokens trả về.
lệnh gọi lại

hàm không bắt buộc

Tham số callback có dạng như sau:
```
(certificates: ArrayBuffer[]) => void
```
- chứng chỉ
  
  ArrayBuffer[]
  
  Danh sách chứng chỉ, mỗi chứng chỉ ở dạng mã hoá DER của chứng chỉ X.509.

Giá trị trả về

Promise<ArrayBuffer[]>

Đang chờ xử lý

Lời hứa được hỗ trợ trong Manifest V3 trở lên nhưng lệnh gọi lại được cung cấp cho khả năng tương thích ngược. Bạn không thể sử dụng cả hai trong cùng một lệnh gọi hàm. Chiến lược phát hành đĩa đơn Promise phân giải cùng loại được truyền đến lệnh gọi lại.

getTokens()

Promise

chrome.enterprise.platformKeys.getTokens(
  callback?: function,
)

Trả về các Mã thông báo hiện có. Trong phiên hoạt động của người dùng thông thường, danh sách sẽ luôn chứa mã thông báo của người dùng với id "user". Nếu có mã thông báo TPM trên toàn hệ thống, danh sách được trả về cũng sẽ chứa mã thông báo trên toàn hệ thống với id "system". Mã thông báo trên toàn hệ thống sẽ giống nhau cho tất cả các phiên trên thiết bị này (thiết bị, ví dụ như Chromebook).

Thông số

số gọi lại

hàm không bắt buộc

Tham số callback sẽ có dạng như sau:
```
(tokens: Token[]) => void
```
- mã thông báo
  
  Mã thông báo[]
  
  Danh sách mã thông báo có sẵn.

Giá trị trả về

Cam kết<Token[]>

Đang chờ xử lý

Lời hứa được hỗ trợ trong Manifest V3 trở lên nhưng lệnh gọi lại được cung cấp cho khả năng tương thích ngược. Bạn không thể sử dụng cả hai trong cùng một lệnh gọi hàm. Chiến lược phát hành đĩa đơn Promise phân giải cùng loại được truyền đến lệnh gọi lại.

importCertificate()

Lời hứa

chrome.enterprise.platformKeys.importCertificate(
  tokenId: string,
  certificate: ArrayBuffer,
  callback?: function,
)

Nhập certificate vào mã thông báo đã cho nếu khoá đã chứng nhận đã được lưu trữ trong mã thông báo này. Sau khi yêu cầu chứng nhận thành công, chức năng này sẽ được sử dụng để lưu trữ chứng chỉ đã thu được và cung cấp chứng chỉ cho hệ điều hành và trình duyệt để xác thực.

Thông số

tokenId

string

Mã của Mã thông báo do getTokens trả về.
chứng nhận

ArrayBuffer

Mã hoá DER của chứng chỉ X.509.
lệnh gọi lại

hàm không bắt buộc

Tham số callback sẽ có dạng như sau:
```
() => void
```

Giá trị trả về

Lời hứa<vô hiệu>

Đang chờ xử lý

Lời hứa được hỗ trợ trong Manifest V3 trở lên nhưng lệnh gọi lại được cung cấp cho khả năng tương thích ngược. Bạn không thể sử dụng cả hai trong cùng một lệnh gọi hàm. Chiến lược phát hành đĩa đơn Promise phân giải cùng loại được truyền đến lệnh gọi lại.

removeCertificate()

Lời hứa

chrome.enterprise.platformKeys.removeCertificate(
  tokenId: string,
  certificate: ArrayBuffer,
  callback?: function,
)

Xoá certificate khỏi mã thông báo đã cho (nếu có). Bạn nên dùng để xoá các chứng chỉ đã lỗi thời để tránh bị xem xét trong quá trình xác thực và tránh làm lộn xộn lựa chọn chứng chỉ. Nên dùng để giải phóng bộ nhớ trong kho chứng chỉ.

Thông số

tokenId

string

Mã của Mã thông báo do getTokens trả về.
chứng nhận

ArrayBuffer

Mã hoá DER của chứng chỉ X.509.
lệnh gọi lại

hàm không bắt buộc

Tham số callback sẽ có dạng như sau:
```
() => void
```

Giá trị trả về

Lời hứa<vô hiệu>

Đang chờ xử lý

Lời hứa được hỗ trợ trong Tệp kê khai V3 trở lên, nhưng lệnh gọi lại được cung cấp để đảm bảo khả năng tương thích ngược. Bạn không thể sử dụng cả hai trong cùng một lệnh gọi hàm. Lời hứa sẽ phân giải bằng cùng một loại được truyền đến lệnh gọi lại.