প্রমাণীকরণ টোকেন

ব্যবহারকারীর পরিচয় সত্যায়নের জন্য আইডেন্টিটি প্রোভাইডার (IdP) কর্তৃক ইস্যুকৃত বেয়ারার টোকেন ( JWT: RFC 7519 )।

JSON উপস্থাপনা 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "google_email": string,
  ...
}
ক্ষেত্র
aud

string

IdP দ্বারা চিহ্নিত অডিয়েন্সকে স্থানীয় কনফিগারেশনের সাথে মিলিয়ে যাচাই করা উচিত।

email

string (UTF-8)

ব্যবহারকারীর ইমেইল ঠিকানা।

exp

string

মেয়াদ শেষ হওয়ার সময়।

iat

string

ইস্যু করার সময়।

iss

string

টোকেন প্রদানকারীকে অবশ্যই বিশ্বস্ত প্রমাণীকরণ প্রদানকারীদের তালিকার সাথে মিলিয়ে যাচাই করতে হবে।

google_email

string

এটি একটি ঐচ্ছিক ক্লেইম, যা তখন ব্যবহার করতে হবে যখন এই JWT-তে থাকা ইমেল ক্লেইমটি ব্যবহারকারীর Google Workspace ইমেল আইডি থেকে ভিন্ন হয়। এই ক্লেইমটি ব্যবহারকারীর Google Workspace ইমেল পরিচয় বহন করে।

...

আপনার কী অ্যাক্সেস কন্ট্রোল লিস্ট সার্ভিস (KACLS) পরিধি মূল্যায়নের জন্য অন্য যেকোনো ক্লেইম (অবস্থান, কাস্টম ক্লেইম, ইত্যাদি) ব্যবহার করতে পারে।

delegate জন্য KACLS প্রমাণীকরণ টোকেন

প্রমাণীকরণ টোকেনটিতে একটি JSON ওয়েব টোকেন (JWT) ( JWT: RFC 7519 ) থাকে, যা একটি বিয়ারার প্রমাণীকরণ টোকেন।

কখনও কখনও একজন ব্যবহারকারী সরাসরি কোনো ক্লায়েন্টে প্রমাণীকরণ করতে পারেন না। এই ক্ষেত্রে, ব্যবহারকারী একটি নির্দিষ্ট রিসোর্সে তার অ্যাক্সেস সেই ক্লায়েন্টকে অর্পণ করতে পারেন। এটি একটি নতুন অর্পিত প্রমাণীকরণ টোকেন ইস্যু করার মাধ্যমে সম্পন্ন করা হয়, যা মূল প্রমাণীকরণ টোকেনের পরিধি সীমিত করে।

ডেলিগেটেড অথেন্টিকেশন টোকেনটি সাধারণ অথেন্টিকেশন টোকেনের অনুরূপ, তবে এতে একটি অতিরিক্ত ক্লেইম থাকে:

দাবি
delegated_to

string

যে সত্তাটির কাছে প্রমাণীকরণের দায়িত্ব অর্পণ করা হবে, তার একটি শনাক্তকারী।

ডেলিগেশন প্রসঙ্গে, অথেনটিকেশন টোকেনের ` resource_name ক্লেইমটি সেই ডেটা এনক্রিপশন কী (DEK) দ্বারা এনক্রিপ্ট করা অবজেক্টটিকে শনাক্ত করতে ব্যবহৃত হয়, যার জন্য ডেলিগেশনটি বৈধ।

টোকেনটি কী অ্যাক্সেস কন্ট্রোল লিস্ট সার্ভিস (KACLS) দ্বারা Delegate কল ব্যবহার করে ইস্যু করা হয়। এটি হয় সেলফ-সাইন্ড JWT হতে পারে যা KACLS যাচাই করতে সক্ষম, অথবা KACLS একটি বিশ্বস্ত কলের মাধ্যমে এই কাজটি করার জন্য অন্য কোনো IdP ব্যবহার করতে পারে।

ডেলিগেটেড অথেন্টিকেশন টোকেনকে বৈধ বলে গণ্য করার জন্য, একই অপারেশনের জন্য একটি ডেলিগেটেড অথরাইজেশন টোকেন অবশ্যই প্রদান করতে হবে। ডেলিগেটেড অথরাইজেশন টোকেনটি সাধারণ অথরাইজেশন টোকেনের মতোই, কিন্তু এতে delegated_to নামক একটি অতিরিক্ত ক্লেইম থাকে। delegated_to এবং resource_name ক্লেইমগুলোর মান অবশ্যই ডেলিগেটেড অথেন্টিকেশন টোকেনের মানের সাথে মিলতে হবে।

ডেটা ফাঁসের ক্ষেত্রে সম্ভাব্য পুনঃব্যবহার এড়ানোর জন্য, আমরা আপনাকে ডেলিগেটেড অথেন্টিকেশন টোকেনগুলির লাইফটাইম ভ্যালু ১৫ মিনিট নির্ধারণ করার পরামর্শ দিচ্ছি।

JSON উপস্থাপনা 
{
  "email": string,
  "iss": string,
  "aud": string,
  "exp": string,
  "iat": string,
  "google_email": string,
  "delegated_to": string,
  "resource_name": string
  ...
}
ক্ষেত্র
email

string (UTF-8)

ব্যবহারকারীর UTF-8 ফরম্যাটের ইমেইল ঠিকানা।

iss

string

টোকেন প্রদানকারীকে অবশ্যই বিশ্বস্ত প্রমাণীকরণ প্রদানকারীদের তালিকার সাথে মিলিয়ে যাচাই করতে হবে।

aud

string

IdP দ্বারা চিহ্নিত অডিয়েন্সকে স্থানীয় কনফিগারেশনের সাথে মিলিয়ে যাচাই করা উচিত।

exp

string

মেয়াদ শেষ হওয়ার সময় যাচাই করে নেওয়া উচিত।

iat

string

ইস্যু করার সময় যাচাই করে নেওয়া উচিত।

delegated_to

string

যে সত্তাটির কাছে প্রমাণীকরণের দায়িত্ব অর্পণ করা হবে, তার একটি শনাক্তকারী।

resource_name

string

DEK দ্বারা এনক্রিপ্ট করা অবজেক্টের একটি শনাক্তকারী, যার জন্য ডেলিগেশনটি বৈধ।

...

KACLS পরিধি মূল্যায়নের জন্য অন্য যেকোনো দাবি (অবস্থান, কাস্টম দাবি, ইত্যাদি) ব্যবহার করতে পারে।

PrivilegedUnwrap এর জন্য KACLS প্রমাণীকরণ টোকেন

ব্যবহারকারীর পরিচয় সত্যায়নের জন্য আইডেন্টিটি প্রোভাইডার (IdP) কর্তৃক ইস্যুকৃত বেয়ারার টোকেন ( JWT: RFC 7519 )।

এটি শুধুমাত্র PrivilegedUnwrap এর সময় ব্যবহৃত হয়। PrivilegedUnwrap চলাকালীন, যদি একটি IDP অথেনটিকেশন টোকেনের পরিবর্তে একটি KACLS JWT ব্যবহার করা হয়, তাহলে ক্লেইমগুলো পরীক্ষা করার আগে প্রাপক KACLS-কে অবশ্যই প্রথমে ইস্যুকারীর JWKS সংগ্রহ করতে হবে, তারপর টোকেন সিগনেচার যাচাই করতে হবে।

JSON উপস্থাপনা 
{
  "aud": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string
  ...
}
ক্ষেত্র
aud

string

IdP দ্বারা চিহ্নিত অডিয়েন্স। গুগল ড্রাইভ ক্লায়েন্ট-সাইড এনক্রিপশন (CSE) PrivilegedUnwrap অপারেশনের জন্য, এটি kacls-migration হওয়া উচিত।

exp

string

মেয়াদ শেষ হওয়ার সময়।

iat

string

ইস্যু করার সময়।

iss

string

টোকেন প্রদানকারী। বিশ্বস্ত প্রমাণীকরণ প্রদানকারীদের তালিকার সাথে এটি যাচাই করা উচিত। অনুরোধকারী KACLS-এর KACLS_URL সাথে অবশ্যই মিলতে হবে। প্রদানকারীর পাবলিক কী সেট <iss>/certs এ পাওয়া যাবে।

kacls_url

string

বর্তমান KACLS-এর URL, যেটিতে ডেটা ডিক্রিপ্ট করা হচ্ছে।

resource_name

string

DEK দ্বারা এনক্রিপ্ট করা অবজেক্টের একটি শনাক্তকারী। সর্বোচ্চ আকার: ১২৮ বাইট।

...

আপনার কী অ্যাক্সেস কন্ট্রোল লিস্ট সার্ভিস (KACLS) পরিধি মূল্যায়নের জন্য অন্য যেকোনো ক্লেইম (অবস্থান, কাস্টম ক্লেইম, ইত্যাদি) ব্যবহার করতে পারে।