Enterprise Deployment

Verteilen Sie die Governance Shield Browser-Erweiterung in Ihrer gesamten Organisation mit vorkonfigurieren Einstellungen. Endnutzer erhalten eine fertig konfigurierte Erweiterung — keine manuelle API-Key-Eingabe erforderlich.

Extension-Details

Managed Configuration

Die Erweiterung liest die Konfiguration aus chrome.storage.managed (Chromium) oder Managed Preferences (Firefox). Wenn verwaltete Werte vorhanden sind, verbindet sich die Erweiterung automatisch — keine manuelle Einrichtung durch Endnutzer.

Die Datei managed-storage-schema.json im Extension-Paket definiert diese Eigenschaften für MDM-Systeme, die eine Schema-Referenz benötigen.

Microsoft Intune (Windows)

Intune bietet drei Deployment-Methoden. Wählen Sie je nach Umgebung:

Methode A: Registry via Remediations (Empfohlen)

Diese Methode schreibt Registry-Schlüssel für Force-Install und konfiguriert Managed Storage in einem einzigen Script.

Schritt 1. Melden Sie sich im Microsoft Intune Admin Center an.

Schritt 2. Navigieren Sie zu Geräte → Wartung → Skriptpakete erstellen.

Schritt 3. Benennen Sie das Paket (z.B. „Governance Shield — Chrome + Edge").

Schritt 4. Fügen Sie das Erkennungsskript (PowerShell) hinzu:

# Erkennungsskript — prüft ob die Extension konfiguriert ist
# Ersetzen Sie EXTENSION_ID mit Ihrer tatsächlichen Chrome Web Store Extension-ID

$extId = "EXTENSION_ID"
$regPath = "HKLM:\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist"

if (Test-Path $regPath) {
    $values = Get-ItemProperty -Path $regPath -ErrorAction SilentlyContinue
    $found = $false
    foreach ($prop in $values.PSObject.Properties) {
        if ($prop.Value -like "$extId*") {
            $found = $true
            break
        }
    }
    if ($found) {
        Write-Output "Extension ist konfiguriert"
        exit 0
    }
}

Write-Output "Extension nicht konfiguriert"
exit 1

Schritt 5. Fügen Sie das Wartungsskript (PowerShell) hinzu:

# Wartungsskript — installiert und konfiguriert die Extension
# Ersetzen Sie diese Werte mit Ihrer tatsächlichen Konfiguration
$extId       = "EXTENSION_ID"
$gatewayUrl  = "https://gateway.ihrfirma.com"
$apiKey      = "pv_live_ihr_api_key_hier"
$updateUrl   = "https://clients2.google.com/service/update2/crx"

# --- Chrome: Force Install ---
$chromeForcelist = "HKLM:\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist"
if (-not (Test-Path $chromeForcelist)) {
    New-Item -Path $chromeForcelist -Force | Out-Null
}
$existing = (Get-ItemProperty -Path $chromeForcelist -ErrorAction SilentlyContinue).PSObject.Properties |
    Where-Object { $_.Name -match '^\d+$' } |
    ForEach-Object { [int]$_.Name }
$nextIndex = if ($existing) { ($existing | Measure-Object -Maximum).Maximum + 1 } else { 1 }
Set-ItemProperty -Path $chromeForcelist -Name "$nextIndex" -Value "$extId;$updateUrl"

# --- Chrome: Managed Storage ---
$chromePolicy = "HKLM:\SOFTWARE\Policies\Google\Chrome\3rdparty\extensions\$extId\policy"
if (-not (Test-Path $chromePolicy)) {
    New-Item -Path $chromePolicy -Force | Out-Null
}
Set-ItemProperty -Path $chromePolicy -Name "gateway_url" -Value $gatewayUrl
Set-ItemProperty -Path $chromePolicy -Name "api_key"     -Value $apiKey
Set-ItemProperty -Path $chromePolicy -Name "enabled"      -Value 1 -Type DWord
Set-ItemProperty -Path $chromePolicy -Name "show_badges"  -Value 1 -Type DWord

# --- Edge: Force Install ---
$edgeForcelist = "HKLM:\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallForcelist"
if (-not (Test-Path $edgeForcelist)) {
    New-Item -Path $edgeForcelist -Force | Out-Null
}
$existingEdge = (Get-ItemProperty -Path $edgeForcelist -ErrorAction SilentlyContinue).PSObject.Properties |
    Where-Object { $_.Name -match '^\d+$' } |
    ForEach-Object { [int]$_.Name }
$nextIndexEdge = if ($existingEdge) { ($existingEdge | Measure-Object -Maximum).Maximum + 1 } else { 1 }
Set-ItemProperty -Path $edgeForcelist -Name "$nextIndexEdge" -Value "$extId;$updateUrl"

# --- Edge: Managed Storage ---
$edgePolicy = "HKLM:\SOFTWARE\Policies\Microsoft\Edge\3rdparty\extensions\$extId\policy"
if (-not (Test-Path $edgePolicy)) {
    New-Item -Path $edgePolicy -Force | Out-Null
}
Set-ItemProperty -Path $edgePolicy -Name "gateway_url" -Value $gatewayUrl
Set-ItemProperty -Path $edgePolicy -Name "api_key"     -Value $apiKey
Set-ItemProperty -Path $edgePolicy -Name "enabled"      -Value 1 -Type DWord
Set-ItemProperty -Path $edgePolicy -Name "show_badges"  -Value 1 -Type DWord

Write-Output "Extension für Chrome und Edge konfiguriert"
exit 0

Schritt 6. Aktivieren Sie unter Einstellungen die Option Skript in 64-Bit-PowerShell ausführen. Dies ist kritisch — im 32-Bit-Kontext werden Werte unter WOW6432Node geschrieben und Chrome liest sie nicht.

Schritt 7. Weisen Sie das Skriptpaket Ihrer Zielgerätegruppe zu.

Methode B: Settings Catalog (nur Force Install)

Verwenden Sie diese Methode für Force-Install ohne Managed-Storage-Konfiguration. Geeignet für Umgebungen, in denen Nutzer den API-Key manuell eingeben, oder als Ergänzung zu Methode C.

Schritt 1. Gehen Sie im Intune Admin Center zu Geräte → Konfiguration → Erstellen → Neue Richtlinie.

Schritt 2. Wählen Sie Windows 10 und höher → Einstellungskatalog.

Schritt 3. Suchen Sie nach ExtensionInstallForcelist und fügen Sie es hinzu.

Schritt 4. Fügen Sie den Wert hinzu:

EXTENSION_ID;https://clients2.google.com/service/update2/crx

Schritt 5. Wiederholen Sie den Vorgang für Edge mit der Edge-spezifischen ExtensionInstallForcelist.

Methode C: Custom OMA-URI (Managed Storage)

Verwenden Sie diese Methode, um Managed-Storage-Konfiguration zusammen mit Methode B zu pushen.

Schritt 1. Erstellen Sie ein Benutzerdefiniertes Konfigurationsprofil.

Schritt 2. Fügen Sie eine OMA-URI-Einstellung hinzu:

Schritt 3. Fügen Sie weitere OMA-URI-Einstellungen für api_key, enabled und show_badges hinzu.

SCCM / Configuration Manager (Windows)

Schritt 1: Anwendung erstellen

Gehen Sie in der Configuration-Manager-Konsole zu Softwarebibliothek → Anwendungsverwaltung → Anwendungen → Anwendung erstellen.

Wählen Sie Anwendungsinformationen manuell angeben.

Schritt 2: Bereitstellungstyp erstellen

Fügen Sie einen Skriptinstaller als Bereitstellungstyp hinzu.

Installationsbefehl:

powershell.exe -ExecutionPolicy Bypass -File "Install-GovernanceShield.ps1"

Verwenden Sie das gleiche Wartungsskript aus dem Intune-Abschnitt als Install-GovernanceShield.ps1.

Schritt 3: Erkennungsmethode konfigurieren

Fügen Sie eine Registry-Erkennungsregel hinzu:

Schritt 4: Bereitstellen

Stellen Sie die Anwendung in einer Gerätesammlung bereit. Verwenden Sie Erforderlich als Installationszweck für automatische Bereitstellung.

API-Key aktualisieren

Um den API-Key zu rotieren, aktualisieren Sie die $apiKey-Variable im Installationsskript und stellen Sie erneut bereit. Das Skript überschreibt bestehende Registry-Werte.

Jamf Pro (macOS)

Jamf verteilt Browser-Extension-Konfigurationen über Konfigurationsprofile. Sie benötigen separate Profile für jeden Browser.

Chrome Extension (Konfigurationsprofil)

Schritt 1. Gehen Sie in Jamf Pro zu Computer → Konfigurationsprofile → Neu.

Schritt 2. Fügen Sie ein Google Chrome-Payload → Extensions hinzu.

Schritt 3. Unter Extension Install Force List fügen Sie hinzu:

EXTENSION_ID;https://clients2.google.com/service/update2/crx

Schritt 4. Für Managed Storage fügen Sie ein Google Chrome → 3rd Party Preferences-Payload mit diesem JSON hinzu:

{
  "EXTENSION_ID": {
    "gateway_url": "https://gateway.ihrfirma.com",
    "api_key": "pv_live_ihr_api_key_hier",
    "enabled": true,
    "show_badges": true
  }
}

Edge Extension (Konfigurationsprofil)

Schritt 1. Fügen Sie ein Microsoft Edge-Payload → Extensions hinzu.

Schritt 2. Unter Extension Install Force List fügen Sie hinzu:

EXTENSION_ID;https://clients2.google.com/service/update2/crx

Schritt 3. Für Managed Storage verwenden Sie ein Custom Settings-Payload mit diesem .plist-Inhalt:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>3rdparty</key>
  <dict>
    <key>extensions</key>
    <dict>
      <key>EXTENSION_ID</key>
      <dict>
        <key>gateway_url</key>
        <string>https://gateway.ihrfirma.com</string>
        <key>api_key</key>
        <string>pv_live_ihr_api_key_hier</string>
        <key>enabled</key>
        <true/>
        <key>show_badges</key>
        <true/>
      </dict>
    </dict>
  </dict>
</dict>
</plist>

Preference Domain: com.microsoft.Edge

Firefox Extension (Konfigurationsprofil)

Firefox unter macOS verwendet einen anderen Mechanismus — Managed Preferences über org.mozilla.firefox.

Schritt 1. Erstellen Sie ein Custom Settings-Payload mit Preference Domain org.mozilla.firefox.

Schritt 2. Verwenden Sie diesen .plist-Inhalt:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>EnterprisePoliciesEnabled</key>
  <true/>
  <key>ExtensionSettings</key>
  <dict>
    <key>[email protected]</key>
    <dict>
      <key>installation_mode</key>
      <string>force_installed</string>
      <key>install_url</key>
      <string>https://addons.mozilla.org/firefox/downloads/latest/palveron-governance-shield/latest.xpi</string>
    </dict>
  </dict>
  <key>3rdparty</key>
  <dict>
    <key>Extensions</key>
    <dict>
      <key>[email protected]</key>
      <dict>
        <key>gateway_url</key>
        <string>https://gateway.ihrfirma.com</string>
        <key>api_key</key>
        <string>pv_live_ihr_api_key_hier</string>
        <key>enabled</key>
        <true/>
        <key>show_badges</key>
        <true/>
      </dict>
    </dict>
  </dict>
</dict>
</plist>

Kombiniertes Profil (Chrome + Edge)

Wenn Sie sowohl Chrome als auch Edge bereitstellen, können Sie ein einzelnes .mobileconfig-Profil erstellen. Laden Sie es in Jamf Pro als Konfigurationsprofil hoch:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>PayloadContent</key>
  <array>
    <!-- Chrome -->
    <dict>
      <key>PayloadType</key>
      <string>com.google.Chrome</string>
      <key>PayloadIdentifier</key>
      <string>com.ihrfirma.governance-shield.chrome</string>
      <key>PayloadUUID</key>
      <string>A1B2C3D4-E5F6-7890-ABCD-EF1234567890</string>
      <key>PayloadVersion</key>
      <integer>1</integer>
      <key>ExtensionInstallForcelist</key>
      <array>
        <string>EXTENSION_ID;https://clients2.google.com/service/update2/crx</string>
      </array>
      <key>3rdparty</key>
      <dict>
        <key>extensions</key>
        <dict>
          <key>EXTENSION_ID</key>
          <dict>
            <key>gateway_url</key>
            <string>https://gateway.ihrfirma.com</string>
            <key>api_key</key>
            <string>pv_live_ihr_api_key_hier</string>
            <key>enabled</key>
            <true/>
            <key>show_badges</key>
            <true/>
          </dict>
        </dict>
      </dict>
    </dict>
    <!-- Edge -->
    <dict>
      <key>PayloadType</key>
      <string>com.microsoft.Edge</string>
      <key>PayloadIdentifier</key>
      <string>com.ihrfirma.governance-shield.edge</string>
      <key>PayloadUUID</key>
      <string>B2C3D4E5-F6A7-8901-BCDE-F12345678901</string>
      <key>PayloadVersion</key>
      <integer>1</integer>
      <key>ExtensionInstallForcelist</key>
      <array>
        <string>EXTENSION_ID;https://clients2.google.com/service/update2/crx</string>
      </array>
      <key>3rdparty</key>
      <dict>
        <key>extensions</key>
        <dict>
          <key>EXTENSION_ID</key>
          <dict>
            <key>gateway_url</key>
            <string>https://gateway.ihrfirma.com</string>
            <key>api_key</key>
            <string>pv_live_ihr_api_key_hier</string>
            <key>enabled</key>
            <true/>
            <key>show_badges</key>
            <true/>
          </dict>
        </dict>
      </dict>
    </dict>
  </array>
  <key>PayloadDisplayName</key>
  <string>Governance Shield — Browser Extensions</string>
  <key>PayloadIdentifier</key>
  <string>com.ihrfirma.governance-shield</string>
  <key>PayloadType</key>
  <string>Configuration</string>
  <key>PayloadUUID</key>
  <string>C3D4E5F6-A7B8-9012-CDEF-123456789012</string>
  <key>PayloadVersion</key>
  <integer>1</integer>
</dict>
</plist>

Google Workspace (Chrome Browser Cloud Management)

Google Workspace bietet Cloud-basierte Extension-Verwaltung für Chrome. Diese Methode funktioniert plattformübergreifend auf Windows, macOS und Linux ohne lokale Policy-Konfiguration.

Voraussetzungen

• Chrome Browser Cloud Management Enrollment-Token auf Zielgeräten verteilt
• Chrome-Browser in Ihrer Google-Workspace-Domain registriert

Schritt 1: Extension Force-Installieren

1. Melden Sie sich in der Google Admin-Konsole an.

2. Navigieren Sie zu Geräte → Chrome → Apps und Erweiterungen → Nutzer und Browser.

3. Wählen Sie die Ziel-Organisationseinheit.

4. Klicken Sie auf + (Hinzufügen) → Aus Chrome Web Store hinzufügen.

5. Suchen Sie die Erweiterung nach Name oder ID.

6. Unter Installationsrichtlinie wählen Sie Erzwungene Installation.

Schritt 2: Managed Storage konfigurieren

1. Klicken Sie auf die Erweiterung in Ihrer Liste.

2. Unter Richtlinie für Erweiterungen geben Sie ein:

{
  "gateway_url": {
    "Value": "https://gateway.ihrfirma.com"
  },
  "api_key": {
    "Value": "pv_live_ihr_api_key_hier"
  },
  "enabled": {
    "Value": true
  },
  "show_badges": {
    "Value": true
  }
}

3. Klicken Sie auf Speichern.

Überprüfung

Nach dem Deployment überprüfen Sie, ob die Erweiterung installiert und korrekt konfiguriert ist.

Windows

1. Öffnen Sie Chrome oder Edge.

2. Navigieren Sie zu chrome://extensions (Chrome) oder edge://extensions (Edge).

3. Bestätigen Sie, dass die Erweiterung aufgeführt und aktiviert ist. Erzwungen installierte Erweiterungen zeigen „Von Ihrer Organisation installiert".

4. Navigieren Sie zu chrome://policy oder edge://policy.

5. Suchen Sie die Extension-ID in der Richtlinienliste. Die Managed-Storage-Werte (gateway_url, api_key, enabled, show_badges) sollten mit Status: OK erscheinen.

6. Klicken Sie auf das Extension-Icon in der Browser-Leiste. Das Popup sollte die Gateway-URL und den Verbindungsstatus anzeigen, ohne manuelle Konfiguration zu erfordern.

macOS

1. Öffnen Sie den Browser und prüfen Sie die Erweiterung in der Symbolleiste.

2. Navigieren Sie in Chrome zu chrome://policy und überprüfen Sie die angewandten Richtlinien.

3. Um zu prüfen, ob das Konfigurationsprofil angewandt wurde:

profiles list -verbose | grep -A 5 "governance-shield"

Firefox

1. Navigieren Sie zu about:policies, um zu prüfen, ob Enterprise-Policies aktiv sind.

2. Bestätigen Sie, dass die Erweiterung in about:addons mit „Von Ihrer Organisation installiert" erscheint.

API-Key aktualisieren

Um den API-Key nach dem Deployment zu rotieren:

Private Browsing

Fehlerbehebung

Erweiterung wird nicht installiert

• Chrome/Edge: Prüfen Sie chrome://policy oder edge://policy. Die ExtensionInstallForcelist-Richtlinie sollte mit Status: OK und der Extension-ID im Wert erscheinen.
• Firefox: Überprüfen Sie, dass EnterprisePoliciesEnabled auf true gesetzt ist. Ohne dies werden alle Richtlinien lautlos ignoriert. Prüfen Sie about:policies.
• Intune-Verzögerung: Policy-Sync kann bis zu 8 Stunden dauern. Erzwingen Sie eine Synchronisierung über Einstellungen → Konten → Auf Geschäfts-, Schul- oder Unikonto zugreifen → Info → Synchronisieren.

Konfiguration wird nicht angezeigt

• Windows: Öffnen Sie regedit und navigieren Sie zu HKLM\SOFTWARE\Policies\Google\Chrome\3rdparty\extensions\EXTENSION_ID\policy. Prüfen Sie, ob die Schlüssel mit korrekten Werten existieren.
• macOS: Führen Sie defaults read com.google.Chrome 3rdparty aus, um Managed Preferences zu prüfen.
• chrome://policy zeigt „Nicht festgelegt": Die Richtlinie benötigt möglicherweise einen Browser-Neustart. Schließen Sie alle Browser-Fenster (einschließlich Hintergrundprozesse) und öffnen Sie den Browser erneut.

Richtlinienkonflikte (Windows)

Wenn mehrere Intune-Profile ExtensionInstallForcelist konfigurieren, können sie kollidieren. Der Remediations-Ansatz (Methode A) vermeidet dies, indem bestehende Einträge gelesen und neue angehängt werden, anstatt zu überschreiben.

32-Bit vs 64-Bit Kontext (Windows)

PowerShell-Skripte in Intune Remediations können im 32-Bit-Kontext ausgeführt werden und Registry-Schlüssel unter WOW6432Node schreiben. Aktivieren Sie immer Skript in 64-Bit-PowerShell ausführen in den Wartungseinstellungen. Chrome liest nur aus dem nativen 64-Bit-Registry-Pfad.

Windows Pro Einschränkungen

Intune Remediations (proaktive Wartungsskripte) erfordern Windows Enterprise oder Education. Sie schlagen auf Windows Pro lautlos fehl — die Skripte werden nie ausgeführt und kein Fehler wird protokolliert. Verwenden Sie für Windows-Pro-Geräte Settings Catalog (Methode B) für Force-Install und Custom OMA-URI (Methode C) für die Konfiguration.

Firefox-Richtlinien funktionieren nicht unter macOS

Firefox erfordert EnterprisePoliciesEnabled in den Managed Preferences. Stellen Sie zusätzlich sicher, dass die .plist-Datei mit der korrekten Preference Domain (org.mozilla.firefox) bereitgestellt wird. Ein häufiger Fehler ist die Verwendung von org.mozilla.Firefox (großes F) — die Domain ist case-sensitive und muss kleingeschrieben sein.

Datenverarbeitung

Die Erweiterung verarbeitet Prompts lokal im Browser und sendet sie zur Policy-Auswertung an Ihr Gateway. Keine Daten werden an Dritte gesendet. Bei On-Premise-Deployments bleiben alle Daten in Ihrem Netzwerk.