# Unternehmensgesteuerte Verschlüsselung aktivieren

{% hint style="info" %}
Siehe [Überblick über Enterprise Controlled Encryption (ECE)](https://docs.verkada.com/docs/enterprise-controlled-encryption-overview.pdf) für weitere Informationen.
{% endhint %}

***

## Voraussetzungen

### Single Sign-On OIDC konfigurieren

Verkada unterstützt derzeit für Single Sign-On mit OIDC nur Okta, Microsoft Entra ID (Azure AD) und Google Workspace als Identitätsanbieter. Anleitungen zur Einrichtung finden Sie unter:

* [Okta](https://help.verkada.com/command/de/sicherheit/identity-providers/okta)
* [Microsoft Entra ID](https://help.verkada.com/command/de/sicherheit/identity-providers/microsoft-entra-id)
* [Google Workspace](https://help.verkada.com/command/de/sicherheit/identity-providers/google-workspace)

{% hint style="danger" %}
OIDC SSO muss in Ihrer Organisation aktiviert sein, um ECE zu aktivieren.
{% endhint %}

### Die mobile Command-App aktualisieren

Bitten Sie alle Benutzer in Ihrer Organisation, ihre mobile Verkada Command-App zu aktualisieren. Die App wird automatisch aktualisiert, sofern die automatische Aktualisierung nicht deaktiviert ist.

* iOS: [Verkada Command](https://apps.apple.com/us/app/verkada-command/id1157022527)
* Android: [Verkada Command](https://play.google.com/store/apps/details?id=com.verkada.android\&hl=en\&gl=US)

Es besteht **keine Notwendigkeit** die Verkada Pass-App zu aktualisieren.

***

## ECE aktivieren

{% stepper %}
{% step %}
**Gehen Sie in Verkada Command zu Alle Produkte > Admin.**
{% endstep %}

{% step %}
**Wählen Sie in der linken Navigation Login & Access > Enterprise Controlled Encryption aus.**
{% endstep %}

{% step %}
**Klicken Sie auf Los geht’s.**
{% endstep %}

{% step %}
**Unter Schlüssel generieren:**

a. Klicken Sie auf **Schlüssel generieren**\
b. Laden Sie den Verschlüsselungsschlüssel herunter\
c. [Den Verschlüsselungsschlüssel zu Ihrem Identitätsanbieter hinzufügen](#add-encryption-key-to-identity-provider)\
d. Klicken Sie auf **Fortfahren**
{% endstep %}

{% step %}
**Unter Verifizieren:**

a. Klicken Sie auf **Abmelden und testen**\
b. Wenn erfolgreich, werden Sie zu dieser Seite weitergeleitet\
c. Klicken Sie auf **Fortfahren**
{% endstep %}

{% step %}
**Unter Geräte registrieren:**

a. Klicken Sie auf **Geräte auswählen** und wählen Sie die Geräte aus, die für ECE registriert werden sollen\
b. Klicken Sie auf **Geräte registrieren**

{% hint style="info" %}
Wir empfehlen, **Alle Geräte auswählen** zu wählen, um zusätzliche Sicherheit und Datenschutz für Ihre gesamte Flotte zu gewährleisten.
{% endhint %}
{% endstep %}
{% endstepper %}

{% hint style="danger" %}
Der Verschlüsselungsschlüssel sollte nur einmal generiert werden. Verwenden Sie diesen Schlüssel, um die Zuordnung im OIDC-Anbieter zu erstellen. Vermeiden Sie nach der Verifizierung das erneute Generieren des Verschlüsselungsschlüssels.
{% endhint %}

{% hint style="success" %}
Beispielformat für eine Verschlüsselungsschlüssel-Datei:

```
Dateiname: <command-org-name>_org_secret.txt

Format:
<Anzeigename / Variablenname>

<Verschlüsselungsschlüssel>
```

{% endhint %}

***

## Verschlüsselungsschlüssel dem Identitätsanbieter hinzufügen

ECE wird von Okta, Microsoft Entra ID (Azure AD) und Google Workspace unterstützt.

<details>

<summary>Okta</summary>

1. Melden Sie sich bei Ihrem Okta-Administratorkonto an.
2. Klicken Sie links auf **Verzeichnis > Profil-Editor**.
3. Öffnen **Verkada SSO OIDC-Benutzer**.
4. Wählen Sie **Attribut hinzufügen**:
   1. Fügen Sie den Anzeigenamen und den Variablennamen (beide Werte sind identisch) aus der Datei org\_secret.txt hinzu. Er beginnt mit „vkdae2ee…“
   2. Klicken Sie auf **Speichern**
5. Wählen Sie **Zuordnungen**:
   1. Klicken Sie auf **Okta-Benutzer zu Verkada SSO OIDC**
   2. Kopieren Sie den Wert des Verschlüsselungsschlüssels (den zweiten Wert in der .txt-Datei, einschließlich der Anführungszeichen)
   3. Fügen Sie unten auf der Seite Zuordnungen in das Textfeld für die neue Variable ein
   4. Klicken Sie auf das Symbol in der Mitte und wählen Sie **Zuordnung bei Benutzererstellung und -aktualisierung anwenden**
   5. Klicken Sie auf **Zuordnungen speichern**, dann **Jetzt Updates anwenden**

{% hint style="danger" %}
Die korrekte Ausführung der Zuordnungsschritte ist entscheidend für einen reibungslosen ECE-Kameraregistrierungsprozess.
{% endhint %}

{% hint style="info" %}
Siehe [Benutzerdefinierte Profilattribute hinzufügen](https://support.okta.com/help/s/article/How-To-Add-Custom-Profile-Attributes-As-Claims-In-a-ID-Token-or-userinfo?language=en_US) falls Probleme auftreten.
{% endhint %}

</details>

<details>

<summary>Microsoft Entra ID (Azure AD)</summary>

1. Melden Sie sich bei Ihrem Azure-Portal an.
2. Suchen Sie nach **App-Registrierungen**.
3. Wählen Sie **Verkada SSO OIDC** (falls nicht sichtbar, Alle Anwendungen markieren).
4. Klicken Sie links auf **Verwalten > App-Rollen**:
   1. Klicken Sie auf **App-Rolle erstellen**
   2. Fügen Sie das **Anzeigename** und **Beschreibung** unter Verwendung desselben ersten Werts aus der `org_secret.txt` Datei
   3. Unter **Zulässige Mitgliedstypen**wählen Sie **Benutzer/Gruppen**
   4. **Unter Wert geben Sie den Verschlüsselungsschlüssel im Format ein** `erster_Wert:zweiter_Wert` (ohne Anführungszeichen)
   5. Klicken Sie auf **Anwenden**
5. Klicken Sie links auf **Verwalten > Tokenkonfiguration**:
   1. Klicken Sie auf **Gruppen-Anspruch hinzufügen**
   2. Wählen Sie **Sicherheitsgruppen** als Gruppentyp
   3. Wählen Sie **Gruppen als Rollenansprüche ausgeben** als ID
   4. Klicken Sie auf **Hinzufügen**
6. Klicken Sie links auf **Verwalten > Authentifizierung > Einstellungen**:
   1. Unter **Implizite Erteilung und Hybridflüsse**, wählen Sie beide **ID-Token** und **Zugriffstoken**
   2. Klicken Sie auf **Speichern**
7. Klicken Sie links auf **Verwalten > Manifest**:
   1. Überprüfen Sie, `idToken.additionalProperties.emit_as_roles` vorhanden ist
8. Benutzer der neuen Rolle zuweisen:
   1. Suchen Sie nach **Microsoft Entra ID**
   2. Klicken Sie links auf **Verwalten > Unternehmensanwendungen**
   3. Klicken Sie auf **Verkada SSO OIDC**
   4. Klicken Sie links auf **Verwalten > Benutzer und Gruppen**
   5. Klicken Sie auf **Benutzer/Gruppe hinzufügen**
   6. Benutzern die neu erstellte Rolle zuweisen
   7. Klicken Sie auf **Zuweisen**

</details>

<details>

<summary>Google Workspace</summary>

1. Öffnen Sie Ihre Google-Admin-Konsole.
2. Navigieren Sie zu **Verzeichnis > Nutzer**.
3. Wählen Sie **Weitere Optionen > Benutzerdefinierte Attribute verwalten**.
4. Klicken Sie auf **Benutzerdefiniertes Attribut hinzufügen** mit:
   1. Kategorie: **ECEInfo**
   2. Benutzerdefiniertes Feld: Name: **keys**, Informationstyp: **Text**, Sichtbarkeit: **Sichtbar für Benutzer und Administrator**, Anzahl der Werte: **Mehrfachwert**
   3. Klicken Sie auf **Hinzufügen**
5. Für jeden Benutzer, der Zugriff auf Ihre Verkada-Organisation benötigt:
   1. Rufen Sie **Verzeichnis > Nutzer** und wählen Sie einen Benutzer aus
   2. Erweitern **Benutzerinformationen > ECEInfo**
   3. Klicken Sie auf **Bearbeiten**
   4. Fügen Sie den Anzeigenamen und den Verschlüsselungsschlüssel durch einen Doppelpunkt getrennt hinzu: `<Anzeigename>:<Verschlüsselungsschlüssel>`
   5. Klicken Sie auf **Speichern**
   6. Für alle Benutzer wiederholen

**Für die Automatisierung**, erstellen Sie eine Google-Gruppe und verwenden Sie das im [Verkada-ECE-Dokumentation](https://docs.verkada.com/docs/enterprise-controlled-encryption-overview.pdf).

</details>