Mem-build layanan kunci enkripsi kustom untuk enkripsi sisi klien
Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Anda dapat menggunakan kunci enkripsi Anda sendiri untuk mengenkripsi data organisasi, bukan menggunakan enkripsi yang disediakan Google Workspace. Dengan Enkripsi Sisi Klien (CSE) Google Workspace, enkripsi file ditangani di browser klien sebelum disimpan di penyimpanan berbasis cloud Drive. Dengan demikian,
server Google tidak dapat mengakses kunci enkripsi Anda dan, oleh karena itu, tidak dapat mendekripsi
data Anda. Untuk mengetahui detail selengkapnya, lihat
Tentang enkripsi sisi klien.
Dengan API ini, Anda dapat mengontrol kunci enkripsi tingkat atas yang melindungi data Anda dengan layanan kunci eksternal kustom. Setelah Anda membuat layanan kunci eksternal dengan API ini, administrator Google Workspace dapat terhubung ke layanan tersebut dan mengaktifkan CSE untuk pengguna mereka.
Terminologi penting
Berikut adalah daftar istilah umum yang digunakan dalam API Enkripsi Sisi Klien Google Workspace:
- Enkripsi sisi klien (CSE)
- Enkripsi yang ditangani di browser klien sebelum disimpan di
penyimpanan berbasis cloud. Tindakan ini melindungi file agar tidak dibaca oleh penyedia penyimpanan. Pelajari lebih lanjut
- Key Access Control List Service (KACLS)
- Layanan kunci eksternal Anda yang menggunakan API ini untuk mengontrol akses ke kunci enkripsi yang disimpan dalam sistem eksternal.
- Penyedia Identitas (IdP)
- Layanan yang mengautentikasi pengguna sebelum mereka dapat mengenkripsi file atau mengakses
file terenkripsi.
Enkripsi & dekripsi
- Kunci Enkripsi Data (DEK)
- Kunci yang digunakan oleh Google Workspace di klien browser untuk mengenkripsi data itu sendiri.
- Kunci Enkripsi Kunci (KEK)
- Kunci dari layanan Anda yang digunakan untuk mengenkripsi Kunci Enkripsi Data (DEK).
Kontrol akses
- Daftar Kontrol Akses (ACL)
- Daftar pengguna atau grup yang dapat membuka atau membaca file.
- Token Web JSON (JWT) Autentikasi
- Token pemilik (JWT: RFC 7516)
yang dikeluarkan oleh partner identitas (IdP) untuk membuktikan identitas pengguna.
- Token Web JSON (JWT) Otorisasi
- Token pembawa (JWT: RFC 7516)
yang dikeluarkan oleh Google untuk memverifikasi bahwa pemanggil diizinkan untuk mengenkripsi atau mendekripsi resource.
- JSON Web Key Set (JWKS)
- URL endpoint hanya baca yang mengarah ke daftar kunci publik yang digunakan untuk memverifikasi Token Web JSON (JWT).
- Perimeter
- Pemeriksaan tambahan yang dilakukan pada token autentikasi dan otorisasi
dalam KACLS untuk kontrol akses.
Proses enkripsi sisi klien
Setelah administrator mengaktifkan CSE untuk organisasi mereka, pengguna yang CSE-nya diaktifkan dapat memilih untuk membuat dokumen terenkripsi menggunakan alat pembuatan konten kolaboratif Google Workspace, seperti Dokumen dan Spreadsheet, atau mengenkripsi file yang mereka upload ke Google Drive, seperti PDF.
Setelah pengguna mengenkripsi dokumen atau file:
Google Workspace membuat DEK di browser klien untuk mengenkripsi konten.
Google Workspace mengirimkan DEK dan token autentikasi ke KACLS pihak ketiga Anda untuk dienkripsi, menggunakan URL yang Anda berikan kepada administrator organisasi Google Workspace.
KACLS Anda menggunakan API ini untuk mengenkripsi DEK, lalu mengirimkan DEK yang dienkripsi dan di-obfuscate kembali ke Google Workspace.
Google Workspace menyimpan data yang dienkripsi dan di-obfuscate di cloud.
Hanya pengguna yang memiliki akses ke KACLS Anda yang dapat mengakses data.
Untuk mengetahui detail selengkapnya, lihat Mengenkripsi dan mendekripsi file.
Langkah berikutnya
Kecuali dinyatakan lain, konten di halaman ini dilisensikan berdasarkan Lisensi Creative Commons Attribution 4.0, sedangkan contoh kode dilisensikan berdasarkan Lisensi Apache 2.0. Untuk mengetahui informasi selengkapnya, lihat Kebijakan Situs Google Developers. Java adalah merek dagang terdaftar dari Oracle dan/atau afiliasinya.
Terakhir diperbarui pada 2025-08-29 UTC.
[null,null,["Terakhir diperbarui pada 2025-08-29 UTC."],[[["\u003cp\u003eGoogle Workspace Client-side Encryption (CSE) allows you to encrypt your organization's data with your own keys, preventing Google servers from accessing or decrypting it.\u003c/p\u003e\n"],["\u003cp\u003eThis API enables you to manage the encryption keys via an external key service, giving you control over data access.\u003c/p\u003e\n"],["\u003cp\u003eCSE encrypts files in the user's browser before they are stored in Google Drive, ensuring only authorized users with access to your external key service can decrypt them.\u003c/p\u003e\n"],["\u003cp\u003eWhen a file is encrypted, Google Workspace generates a Data Encryption Key (DEK), which is then encrypted by your external key service and stored with the encrypted data.\u003c/p\u003e\n"],["\u003cp\u003eTo get started, you can configure your external key service and learn how to encrypt and decrypt data using the provided guides.\u003c/p\u003e\n"]]],["Google Workspace Client-side Encryption (CSE) allows users to encrypt data in their browser before cloud storage. This is achieved by using your own external Key Access Control List Service (KACLS). Google Workspace generates a Data Encryption Key (DEK) and sends it to your KACLS for encryption with a Key Encryption Key (KEK). Your service then returns the encrypted DEK to Google Workspace. This ensures that only users with KACLS access can decrypt the stored data.\n"],null,["# Build a custom key service for client-side encryption\n\nYou can use your own encryption keys to encrypt your organization's data,\ninstead of using the encryption that Google Workspace provides. With Google Workspace Client-side Encryption (CSE), file encryption is handled in the\nclient's browser before it's stored in Drive's cloud-based storage. That way,\nGoogle servers can't access your encryption keys and, therefore, can't decrypt\nyour data. For more details, see\n[About client-side encryption](https://support.google.com/a/answer/10741897#zippy=%2Cbasic-setup-steps-for-cse).\n\nThis API lets you control the top-level encryption keys that protect your data\nwith a custom external key service. After you create an external key service\nwith this API, Google Workspace administrators can connect to it and enable CSE\nfor their users.\n\nImportant terminology\n---------------------\n\nBelow is a list of common terms used in the Google Workspace Client-side Encryption API:\n\n*Client-side encryption (CSE)*\n: Encryption that's handled in the client's browser before it's stored in\n cloud-based storage. This protects the file from being read by the storage\n provider. [Learn more](https://support.google.com/a/answer/10741897#zippy=%2Chow-is-cse-different-from-end-to-end-ee-encryption)\n\n*Key Access Control List Service (KACLS)*\n: Your external key service that uses this API to control access to encryption\n keys stored in an external system.\n\n*Identity Provider (IdP)*\n: The service that authenticates users before they can encrypt files or access\n encrypted files.\n\n### Encryption \\& decryption\n\n*Data Encryption Key (DEK)*\n: The key used by Google Workspace in the browser client to encrypt the data\n itself.\n\n*Key Encryption Key (KEK)*\n: A key from your service used to encrypt a Data Encryption Key (DEK).\n\n### Access control\n\n*Access Control List (ACL)*\n: A list of users or groups that can open or read a file.\n\n*Authentication JSON Web Token (JWT)*\n: Bearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\n issued by the identity partner (IdP) to attest a user's identity.\n\n*Authorization JSON Web Token (JWT)*\n: Bearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\n issued by Google to verify that the caller is authorized to encrypt or decrypt a resource.\n\n*JSON Web Key Set (JWKS)*\n: A read-only endpoint URL that points to a list of public keys used to verify\n JSON Web Tokens (JWT).\n\n*Perimeter*\n: Additional checks performed on the authentication and authorization tokens\n within the KACLS for access control.\n\nClient-side encryption process\n------------------------------\n\nAfter an administrator enables CSE for their organization, users for whom CSE is\nenabled can choose to create encrypted documents using the Google Workspace\ncollaborative content creation tools, like Docs and Sheets, or encrypt files\nthey upload to Google Drive, such as PDFs.\n\nAfter the user encrypts a document or file:\n\n1. Google Workspace generates a DEK in the client browser to encrypt the\n content.\n\n2. Google Workspace sends the DEK and authentication tokens to your third-party\n KACLS for encryption, using a URL you provide to the\n Google Workspace organization's administrator.\n\n3. Your KACLS uses this API to encrypt the DEK, then sends the obfuscated,\n encrypted DEK back to Google Workspace.\n\n4. Google Workspace stores the obfuscated, encrypted data in the cloud.\n Only users with access to your KACLS are able to access the data.\n\nFor more details, see [Encrypt and decrypt files](/workspace/cse/guides/encrypt-and-decrypt-data).\n\nNext steps\n----------\n\n- Learn how to [configure your service](/workspace/cse/guides/configure-service).\n- Learn how to [encrypt \\& decrypt data](/workspace/cse/guides/encrypt-and-decrypt-data)."]]
