说明
请使用 chrome.enterprise.platformKeys
API 生成密钥并为这些密钥安装证书。这些证书将由平台管理,可用于 TLS 身份验证、网络访问,或供其他扩展程序通过 chrome.platformKeys 使用。
权限
enterprise.platformKeys
可用性
概念和用法
此 API 用于注册客户端证书的典型用法如下:
使用
enterprise.platformKeys.getTokens()
获取所有可用的令牌。找到
id
等于"user"
的词元。以后再使用此令牌。使用
generateKey()
令牌方法(在 SubtleCrypto 中定义)生成密钥对。此操作会将句柄返回给键。使用
exportKey()
令牌方法(在 SubtleCrypto 中定义)导出公钥。使用
sign()
令牌方法(在 SubtleCrypto 中定义)创建认证请求数据的签名。完成认证请求,并将其发送给认证授权机构。
如果收到证书,请使用 [
enterprise.platformKeys.importCertificate()
`[3] 将其导入
以下示例展示了除生成和发送认证请求之外的主要 API 交互:
function getUserToken(callback) {
chrome.enterprise.platformKeys.getTokens(function(tokens) {
for (var i = 0; i < tokens.length; i++) {
if (tokens[i].id == "user") {
callback(tokens[i]);
return;
}
}
callback(undefined);
});
}
function generateAndSign(userToken) {
var data = new Uint8Array([0, 5, 1, 2, 3, 4, 5, 6]);
var algorithm = {
name: "RSASSA-PKCS1-v1_5",
// RsaHashedKeyGenParams
modulusLength: 2048,
publicExponent:
new Uint8Array([0x01, 0x00, 0x01]), // Equivalent to 65537
hash: {
name: "SHA-256",
}
};
var cachedKeyPair;
userToken.subtleCrypto.generateKey(algorithm, false, ["sign"])
.then(function(keyPair) {
cachedKeyPair = keyPair;
return userToken.subtleCrypto.exportKey("spki", keyPair.publicKey);
},
console.log.bind(console))
.then(function(publicKeySpki) {
// Build the Certification Request using the public key.
return userToken.subtleCrypto.sign(
{name : "RSASSA-PKCS1-v1_5"}, cachedKeyPair.privateKey, data);
},
console.log.bind(console))
.then(function(signature) {
// Complete the Certification Request with |signature|.
// Send out the request to the CA, calling back
// onClientCertificateReceived.
},
console.log.bind(console));
}
function onClientCertificateReceived(userToken, certificate) {
chrome.enterprise.platformKeys.importCertificate(userToken.id, certificate);
}
getUserToken(generateAndSign);
类型
Algorithm
要生成的密钥类型。
枚举
ChallengeKeyOptions
属性
-
质询
ArrayBuffer
Verified Access Web API 发出的质询。
-
registerKey
如果存在,则使用指定的
scope
的令牌注册质询的密钥。然后,可以将该密钥与一个证书关联,并像使用任何其他签名密钥一样使用它。对此函数的后续调用将在指定的scope
中生成新的企业密钥。 -
范围
要挑战哪个企业密钥。
RegisterKeyOptions
属性
-
算法
注册的密钥应使用哪种算法。
Scope
使用企业用户密钥还是企业计算机密钥。
枚举
Token
属性
-
id
string
此
Token
的唯一标识。静态 ID 是
"user"
和"system"
,分别表示平台的用户特定令牌和系统级硬件令牌。enterprise.platformKeys.getTokens
可能会返回任何其他令牌(包括其他标识符)。 -
softwareBackedSubtleCrypto
SubtleCrypto
Chrome 97 及更高版本实现 WebCrypto 的 SubtleCrypto 接口。加密操作(包括密钥生成)由软件支持。密钥的保护以及不可提取属性的实现是在软件中完成的,因此密钥的保护不如硬件支持的密钥。
只能生成
modulusLength
值不超过 2048 的不可提取 RSASSA-PKCS1-V1_5 密钥。每个密钥最多只能用于为数据签名一次。在特定
Token
上生成的密钥不能与任何其他令牌一起使用,也不能与window.crypto.subtle
一起使用。同样,使用window.crypto.subtle
创建的Key
对象不能通过此接口使用。 -
subtleCrypto
SubtleCrypto
实现 WebCrypto 的 SubtleCrypto 接口。加密操作(包括生成密钥)由硬件支持。
只能生成值为
modulusLength
最多 2048 的不可提取 RSASSA-PKCS1-V1_5 密钥和值为namedCurve
P-256 的 ECDSA 密钥。每个密钥最多只能用于为数据签名一次。在特定
Token
上生成的密钥不能与任何其他令牌一起使用,也不能与window.crypto.subtle
一起使用。同样,使用window.crypto.subtle
创建的Key
对象不能通过此接口使用。
方法
challengeKey()
chrome.enterprise.platformKeys.challengeKey(
options: ChallengeKeyOptions,
callback: function,
)
与 challengeMachineKey
和 challengeUserKey
类似,但允许指定已注册密钥的算法。验证由硬件支持的企业机器密钥,并作为远程认证协议的一部分发出响应。仅适用于 Chrome 操作系统,并且与 Verified Access Web API 结合使用,后者会发出质询并验证响应。
Verified Access Web API 成功通过验证,可以明确表明当前设备是合法的 ChromeOS 设备,当前设备由验证期间指定的网域管理,当前登录的用户由验证期间指定的网域管理,并且当前设备状态符合企业设备政策。例如,某项政策可能会指定设备不得处于开发者模式。验证流程发出的任何设备身份信息都与当前设备的硬件密切相关。如果指定了 "user"
范围,则身份还会与当前登录的用户紧密绑定。
此函数受到严格限制,如果当前设备未受管理、当前用户不受管理,或者企业设备政策未为调用方明确启用此操作,此函数将会失败。质询的密钥不在 "system"
或 "user"
令牌中,并且无法通过任何其他 API 访问。
参数
-
包含
ChallengeKeyOptions
中定义的字段的对象。 -
callback
功能
callback
参数如下所示:(response: ArrayBuffer)=>void
-
条回复
ArrayBuffer
质询响应。
-
challengeMachineKey()
chrome.enterprise.platformKeys.challengeMachineKey(
challenge: ArrayBuffer,
registerKey?: boolean,
callback: function,
)
请改用 challengeKey
。
验证由硬件支持的企业机器密钥,并作为远程认证协议的一部分发出响应。仅适用于 Chrome 操作系统,并且与 Verified Access Web API 结合使用,后者会发出质询并验证响应。通过 Verified Access Web API 成功通过验证,意味着符合以下所有条件:* 当前设备是合法的 ChromeOS 设备。* 当前设备由验证期间指定的网域管理。* 当前登录的用户由验证期间指定的网域管理。* 当前的设备状态符合企业设备政策。例如,某项政策可能会指定设备不得处于开发者模式。* 验证流程发出的任何设备身份信息都与当前设备的硬件密切相关。此函数受到严格限制,如果当前设备未受管理、当前用户不受管理,或者企业设备政策未为调用方明确启用此操作,此函数将会失败。企业设备密钥未存储在 "system"
令牌中,任何其他 API 均无法访问该密钥。
参数
-
质询
ArrayBuffer
Verified Access Web API 发出的质询。
-
registerKey
布尔值 选填
Chrome 59 及更高版本如果已设置,则当前的企业计算机密钥会使用
"system"
令牌注册,并放弃企业计算机密钥角色。然后,可以将该密钥与一个证书关联,并像使用任何其他签名密钥一样使用它。该密钥是 2048 位 RSA。对此函数的后续调用将生成新的企业机器密钥。 -
callback
功能
callback
参数如下所示:(response: ArrayBuffer)=>void
-
条回复
ArrayBuffer
质询响应。
-
challengeUserKey()
chrome.enterprise.platformKeys.challengeUserKey(
challenge: ArrayBuffer,
registerKey: boolean,
callback: function,
)
请改用 challengeKey
。
验证由硬件支持的企业用户密钥,并作为远程认证协议的一部分发出响应。仅适用于 Chrome 操作系统,并且与 Verified Access Web API 结合使用,后者会发出质询并验证响应。通过 Verified Access Web API 成功通过验证,意味着符合以下所有条件:* 当前设备是合法的 ChromeOS 设备。* 当前设备由验证期间指定的网域管理。* 当前登录的用户由验证期间指定的网域管理。* 当前的设备状态符合企业用户规范。例如,某项政策可能会指定设备不得处于开发者模式。* 验证流程发出的公钥与当前设备的硬件和当前登录的用户密切相关。此函数受到严格限制,如果当前设备不受管理、当前用户不受管理,或者企业用户政策未为调用方明确启用此操作,此函数将会失败。企业用户密钥未存储在 "user"
令牌中,其他任何 API 均无法访问。
参数
-
质询
ArrayBuffer
Verified Access Web API 发出的质询。
-
registerKey
boolean
如果设置了该字段,则当前的企业用户密钥会使用
"user"
令牌注册,并放弃企业用户密钥角色。然后,可以将该密钥与一个证书关联,并像使用任何其他签名密钥一样使用它。该密钥是 2048 位 RSA。对此函数的后续调用将生成新的企业用户密钥。 -
callback
功能
callback
参数如下所示:(response: ArrayBuffer)=>void
-
条回复
ArrayBuffer
质询响应。
-
getCertificates()
chrome.enterprise.platformKeys.getCertificates(
tokenId: string,
callback: function,
)
返回从指定令牌获得的所有客户端证书的列表。可用于检查可用于特定身份验证的客户端证书是否存在以及是否过期。
参数
-
tokenId
string
getTokens
返回的令牌的 ID。 -
callback
功能
callback
参数如下所示:(certificates: ArrayBuffer[])=>void
-
certificates
ArrayBuffer[]
证书列表,每个证书均采用 X.509 证书的 DER 编码。
-
getTokens()
chrome.enterprise.platformKeys.getTokens(
callback: function,
)
返回可用令牌。在常规用户的会话中,该列表将始终包含具有 id
"user"
的用户令牌。如果有系统级 TPM 令牌可用,返回的列表还将包含具有 id
"system"
的系统级令牌。此设备上的所有会话(从 Chromebook 等角度而言的设备)的系统级令牌都是相同的。
importCertificate()
chrome.enterprise.platformKeys.importCertificate(
tokenId: string,
certificate: ArrayBuffer,
callback?: function,
)
如果经过认证的密钥已存储在此令牌中,则将 certificate
导入到给定的令牌。成功发出认证请求后,应使用此函数存储获取的证书,并将其提供给操作系统和浏览器进行身份验证。
参数
-
tokenId
string
getTokens
返回的令牌的 ID。 -
证书
ArrayBuffer
X.509 证书的 DER 编码。
-
callback
函数(可选)
callback
参数如下所示:()=>void
removeCertificate()
chrome.enterprise.platformKeys.removeCertificate(
tokenId: string,
certificate: ArrayBuffer,
callback?: function,
)
从给定的令牌(如果存在)中移除 certificate
。应该用于移除过时的证书,以免在身份验证过程中考虑这些证书,从而避免给证书选择造成混乱。应该用于释放证书存储区中的存储空间。
参数
-
tokenId
string
getTokens
返回的令牌的 ID。 -
证书
ArrayBuffer
X.509 证书的 DER 编码。
-
callback
函数(可选)
callback
参数如下所示:()=>void