إنشاء خدمة إدارة مفاتيح تشفير مخصَّصة لميزة "التشفير من جهة العميل"
تنظيم صفحاتك في مجموعات
يمكنك حفظ المحتوى وتصنيفه حسب إعداداتك المفضّلة.
يمكنك استخدام مفاتيح التشفير الخاصة بك لتشفير بيانات مؤسستك، بدلاً من استخدام التشفير الذي توفّره Google Workspace. باستخدام ميزة "التشفير من جهة العميل" (CSE) في Google Workspace، يتم التعامل مع تشفير الملفات في متصفّح العميل قبل تخزينها في مساحة تخزين Drive المستنِدة إلى السحابة الإلكترونية. وبهذه الطريقة، لا يمكن لخوادم Google الوصول إلى مفاتيح التشفير، وبالتالي لا يمكنها فك تشفير بياناتك. لمزيد من التفاصيل، يُرجى الاطّلاع على
لمحة عن ميزة "التشفير من جهة العميل".
تتيح لك واجهة برمجة التطبيقات هذه التحكّم في مفاتيح التشفير ذات المستوى الأعلى التي تحمي بياناتك
باستخدام خدمة إدارة مفاتيح تشفير خارجية مخصّصة. بعد إنشاء خدمة إدارة مفاتيح تشفير خارجية باستخدام واجهة برمجة التطبيقات هذه، يمكن لمشرفي Google Workspace الربط بها وتفعيل ميزة "التشفير من جهة العميل" للمستخدمين.
المصطلحات المهمة
في ما يلي قائمة بالمصطلحات الشائعة الاستخدام في واجهة برمجة التطبيقات لميزة "التشفير من جهة العميل" في Google Workspace:
- التشفير من جهة العميل (CSE)
- التشفير الذي يتم التعامل معه في متصفّح العميل قبل تخزينه في مساحة تخزين مستنِدة إلى السحابة الإلكترونية ويحمي هذا الإجراء الملف من أن يقرأه مقدّم خدمة التخزين. مزيد من المعلومات
- خدمة قائمة التحكّم في الوصول إلى المفاتيح (KACLS)
- خدمة إدارة مفاتيح التشفير الخارجية التي تستخدم واجهة برمجة التطبيقات هذه للتحكّم في الوصول إلى مفاتيح التشفير المخزّنة في نظام خارجي
- موفِّر الهوية (IdP)
- الخدمة التي تصادق على المستخدمين قبل أن يتمكّنوا من تشفير الملفات أو الوصول إلى الملفات المشفّرة
التشفير وفك التشفير
- مفتاح تشفير البيانات (DEK)
- المفتاح الذي يستخدمه Google Workspace في برنامج العميل على المتصفّح لتشفير البيانات
نفسها
- مفتاح تشفير المفتاح (KEK)
- مفتاح من خدمتك يُستخدَم لتشفير مفتاح تشفير البيانات (DEK).
التحكم في الدخول
- قائمة التحكّم بالوصول (ACL)
- قائمة بالمستخدمين أو المجموعات التي يمكنها فتح ملف أو قراءته
- رمز JSON المميّز للويب (JWT) للمصادقة
- الرمز المميّز لحامل الإذن (JWT: RFC 7516)
الذي يقدّمه شريك الهوية (IdP) لإثبات هوية المستخدم.
- رمز JSON المميّز للويب (JWT) الخاص بالتفويض
- رمز مميّز لحامل الإذن (JWT: RFC 7516)
تصدره Google للتحقّق من أنّ مقدّم الطلب لديه الإذن بتشفير مورد أو فك تشفيره.
- مجموعة مفاتيح الويب JSON (JWKS)
- عنوان URL لنقطة نهاية للقراءة فقط يشير إلى قائمة بالمفاتيح العامة المستخدَمة للتحقّق من صحة رموز JSON المميّزة للويب (JWT).
- المحيط
- عمليات التحقّق الإضافية التي يتم إجراؤها على رموز المصادقة والترخيص
في KACLS للتحكّم في الوصول
عملية التشفير من جهة العميل
بعد أن يفعّل المشرف ميزة "التشفير من جهة العميل" لمؤسسته، يمكن للمستخدمين الذين تم تفعيل هذه الميزة لهم اختيار إنشاء مستندات مشفَّرة باستخدام أدوات إنشاء المحتوى التعاوني في Google Workspace، مثل "مستندات Google" و"جداول بيانات Google"، أو تشفير الملفات التي يحمّلونها إلى Google Drive، مثل ملفات PDF.
بعد أن يشفّر المستخدم مستندًا أو ملفًا:
ينشئ Google Workspace مفتاح تشفير البيانات في متصفّح العميل لتشفير المحتوى.
ترسل Google Workspace مفتاح تشفير البيانات ورموز المصادقة المميزة إلى خدمة إدارة مفاتيح التشفير الخارجية التي تستخدمها للتشفير، وذلك باستخدام عنوان URL تقدّمه إلى مشرف مؤسسة Google Workspace.
يستخدم نظام إدارة مفاتيح التشفير هذا واجهة برمجة التطبيقات لتشفير مفتاح تشفير البيانات، ثم يعيد إرسال مفتاح تشفير البيانات المشوّش والمشفّر إلى Google Workspace.
يخزّن Google Workspace البيانات المشفّرة والمشوّشة في السحابة الإلكترونية.
يمكن فقط للمستخدمين الذين لديهم إذن الوصول إلى نظام إدارة مفاتيح التشفير الخاص بك الوصول إلى البيانات.
لمزيد من التفاصيل، يُرجى الاطّلاع على تشفير الملفات وفك تشفيرها.
الخطوات التالية
إنّ محتوى هذه الصفحة مرخّص بموجب ترخيص Creative Commons Attribution 4.0 ما لم يُنصّ على خلاف ذلك، ونماذج الرموز مرخّصة بموجب ترخيص Apache 2.0. للاطّلاع على التفاصيل، يُرجى مراجعة سياسات موقع Google Developers. إنّ Java هي علامة تجارية مسجَّلة لشركة Oracle و/أو شركائها التابعين.
تاريخ التعديل الأخير: 2025-08-29 (حسب التوقيت العالمي المتفَّق عليه)
[null,null,["تاريخ التعديل الأخير: 2025-08-29 (حسب التوقيت العالمي المتفَّق عليه)"],[[["\u003cp\u003eGoogle Workspace Client-side Encryption (CSE) allows you to encrypt your organization's data with your own keys, preventing Google servers from accessing or decrypting it.\u003c/p\u003e\n"],["\u003cp\u003eThis API enables you to manage the encryption keys via an external key service, giving you control over data access.\u003c/p\u003e\n"],["\u003cp\u003eCSE encrypts files in the user's browser before they are stored in Google Drive, ensuring only authorized users with access to your external key service can decrypt them.\u003c/p\u003e\n"],["\u003cp\u003eWhen a file is encrypted, Google Workspace generates a Data Encryption Key (DEK), which is then encrypted by your external key service and stored with the encrypted data.\u003c/p\u003e\n"],["\u003cp\u003eTo get started, you can configure your external key service and learn how to encrypt and decrypt data using the provided guides.\u003c/p\u003e\n"]]],["Google Workspace Client-side Encryption (CSE) allows users to encrypt data in their browser before cloud storage. This is achieved by using your own external Key Access Control List Service (KACLS). Google Workspace generates a Data Encryption Key (DEK) and sends it to your KACLS for encryption with a Key Encryption Key (KEK). Your service then returns the encrypted DEK to Google Workspace. This ensures that only users with KACLS access can decrypt the stored data.\n"],null,["# Build a custom key service for client-side encryption\n\nYou can use your own encryption keys to encrypt your organization's data,\ninstead of using the encryption that Google Workspace provides. With Google Workspace Client-side Encryption (CSE), file encryption is handled in the\nclient's browser before it's stored in Drive's cloud-based storage. That way,\nGoogle servers can't access your encryption keys and, therefore, can't decrypt\nyour data. For more details, see\n[About client-side encryption](https://support.google.com/a/answer/10741897#zippy=%2Cbasic-setup-steps-for-cse).\n\nThis API lets you control the top-level encryption keys that protect your data\nwith a custom external key service. After you create an external key service\nwith this API, Google Workspace administrators can connect to it and enable CSE\nfor their users.\n\nImportant terminology\n---------------------\n\nBelow is a list of common terms used in the Google Workspace Client-side Encryption API:\n\n*Client-side encryption (CSE)*\n: Encryption that's handled in the client's browser before it's stored in\n cloud-based storage. This protects the file from being read by the storage\n provider. [Learn more](https://support.google.com/a/answer/10741897#zippy=%2Chow-is-cse-different-from-end-to-end-ee-encryption)\n\n*Key Access Control List Service (KACLS)*\n: Your external key service that uses this API to control access to encryption\n keys stored in an external system.\n\n*Identity Provider (IdP)*\n: The service that authenticates users before they can encrypt files or access\n encrypted files.\n\n### Encryption \\& decryption\n\n*Data Encryption Key (DEK)*\n: The key used by Google Workspace in the browser client to encrypt the data\n itself.\n\n*Key Encryption Key (KEK)*\n: A key from your service used to encrypt a Data Encryption Key (DEK).\n\n### Access control\n\n*Access Control List (ACL)*\n: A list of users or groups that can open or read a file.\n\n*Authentication JSON Web Token (JWT)*\n: Bearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\n issued by the identity partner (IdP) to attest a user's identity.\n\n*Authorization JSON Web Token (JWT)*\n: Bearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\n issued by Google to verify that the caller is authorized to encrypt or decrypt a resource.\n\n*JSON Web Key Set (JWKS)*\n: A read-only endpoint URL that points to a list of public keys used to verify\n JSON Web Tokens (JWT).\n\n*Perimeter*\n: Additional checks performed on the authentication and authorization tokens\n within the KACLS for access control.\n\nClient-side encryption process\n------------------------------\n\nAfter an administrator enables CSE for their organization, users for whom CSE is\nenabled can choose to create encrypted documents using the Google Workspace\ncollaborative content creation tools, like Docs and Sheets, or encrypt files\nthey upload to Google Drive, such as PDFs.\n\nAfter the user encrypts a document or file:\n\n1. Google Workspace generates a DEK in the client browser to encrypt the\n content.\n\n2. Google Workspace sends the DEK and authentication tokens to your third-party\n KACLS for encryption, using a URL you provide to the\n Google Workspace organization's administrator.\n\n3. Your KACLS uses this API to encrypt the DEK, then sends the obfuscated,\n encrypted DEK back to Google Workspace.\n\n4. Google Workspace stores the obfuscated, encrypted data in the cloud.\n Only users with access to your KACLS are able to access the data.\n\nFor more details, see [Encrypt and decrypt files](/workspace/cse/guides/encrypt-and-decrypt-data).\n\nNext steps\n----------\n\n- Learn how to [configure your service](/workspace/cse/guides/configure-service).\n- Learn how to [encrypt \\& decrypt data](/workspace/cse/guides/encrypt-and-decrypt-data)."]]
