אסימוני אימות

אסימון למוכ"ז (JWT: RFC 7516) שהונפקו על ידי שותף הזהויות (IdP) כדי לאמת את זהות המשתמש.

ייצוג JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "google_email": string,
  ...
}
שדות
aud

string

הקהל, כפי שזוהה על ידי ה-IdP. יש לבדוק מול התצורה המקומית.
email

string (UTF-8)

כתובת האימייל של המשתמש.
exp

string

מועד תפוגה.
iat

string

זמן הנפקה.
iss

string

מנפיק האסימון. צריך לבצע אימות מול קבוצה מהימנה של מנפיקי אימות.
google_email

string

תלונה אופציונלית, לשימוש כאשר הצהרת הבעלות על האימייל ב-JWT הזה שונה ממזהה האימייל של המשתמש ב-Google Workspace. הצהרה זו כולל את זהות האימייל של המשתמש ב-Google Workspace.
...

שירות רשימת בקרת הגישה למפתחות (KACLS) יכול להשתמש בכל הצהרה אחרת (מיקום, תלונה מותאמת אישית וכו') כדי להעריך את ההיקף.

אסימון אימות KACLS עבור PrivilegedUnwrap

אסימון למוכ"ז (JWT: RFC 7516) שהונפקו על ידי שותף הזהויות (IdP) כדי לאמת את זהות המשתמש.

האפשרות הזו בשימוש רק ב-PrivilegedUnwrap. במהלך PrivilegedUnwrap, אם הפקודה KACLS משתמשים ב-JWT במקום באסימון אימות IdP, נמען KACLS חייב מאחזרים את ה-JWKS של המנפיק ואז מאמתים את חתימת האסימון בדיקת הטענות.

ייצוג JSON 
{
  "aud": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string
  ...
}
שדות
aud

string

הקהל, כפי שזוהה על ידי ה-IdP. בפעולות של PrivilegedUnwrap להצפנה מצד הלקוח (CSE) ב-Drive: זה צריך להיות kacls-migration.
exp

string

מועד תפוגה.
iat

string

זמן הנפקה.
iss

string

מנפיק האסימון. צריך לבצע אימות מול קבוצה מהימנה של מנפיקי אימות. חייב להתאים ל-KACLS_URL של ה-KACLS שמבקשים. אפשר למצוא את קבוצת המפתחות הציבוריים של המנפיק בכתובת /certs.
kacls_url

string

כתובת ה-URL של ה-KACLS הנוכחי, שבו הנתונים מפוענחים.
resource_name

string

מזהה של האובייקט שהוצפן על ידי ה-DEK. גודל מקסימלי: 128 בייטים.
...

שירות רשימת בקרת הגישה למפתחות (KACLS) יכול להשתמש בכל הצהרה אחרת (מיקום, תלונה מותאמת אישית וכו') כדי להעריך את ההיקף.