授权令牌

由 Google 签发的不记名令牌 (JWT：RFC 7516)，用于验证调用者是否已获得加密或解密资源的授权。

为防止滥用，密钥访问控制列表服务 (KACLS) 应验证调用方是否已获得授权来加密对象（文件或文档），然后再封装密钥；还应验证调用方是否已获得授权来解密对象，然后再解封装 DEK。

Google 文档和云端硬盘、Google 日历和 Meet 客户端加密功能 (CSE) 的授权令牌

JSON 表示法 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
字段
aud

string

Google 确定的受众群体。应根据本地配置进行检查。
delegated_to

string

（可选）有权访问相应资源的用户所用的电子邮件地址。
email

string (UTF-8)

用户的电子邮件地址。
email_type

string

包含以下某个值：

  • google：此电子邮件地址属于某个 Google 账号。
  • google-visitor：此电子邮件地址不属于 Google 账号，但已通过 Google 的 PIN 码验证。
  • customer-idp：此电子邮件地址不属于 Google 账号，但用户的电子邮件地址是使用客户配置的 IdP 提取的。
  • 相应声明可以不设置；在这种情况下，默认值为“google”。
exp

string

到期时间。
iat

string

发卡时间。
iss

string

令牌颁发者。应针对可信的身份验证签发者集进行验证。
kacls_url

string

配置的基础 KACLS 网址，用于防止中间人 (PITM) 攻击。
perimeter_id

string (UTF-8)

（可选）与文档位置相关联的值，可用于选择在解封装时检查哪个安全边界。大小上限：128 字节。
resource_name

string (UTF-8)

由 DEK 加密的对象的标识符。大小上限：128 字节。
role

string

包含以下某个值：

  • reader：仅允许调用 unwrap。
  • writer：允许同时调用 wrap 和 unwrap

Gmail CSE 的授权令牌

JSON 表示法 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
字段
aud

string

Google 确定的受众群体。应根据本地配置进行检查。
email

string (UTF-8)

用户的电子邮件地址。
exp

string

到期时间。
iat

string

发卡时间。
message_id

string

执行解密或签名的消息的标识符。用作客户端原因，用于审核目的。
iss

string

令牌颁发者。应针对可信的身份验证签发者集进行验证。
kacls_url

string

配置的基础 KACLS 网址，用于防止中间人 (PITM) 攻击。
perimeter_id

string (UTF-8)

（可选）与文档位置相关联的值，可用于选择在解封装时检查哪个安全边界。大小上限：128 字节。
resource_name

string (UTF-8)

由 DEK 加密的对象的标识符。大小上限：512 字节。
role

string

包含以下某个值：

  • decrypter：可以解密。
  • signer：可以签名。
spki_hash

string

所访问私钥的 DER 编码 SubjectPublicKeyInfo 的标准 base64 编码摘要。
spki_hash_algorithm

string

用于生成 spki_hash 的算法。例如：SHA-256。

KACLS 迁移服务的授权令牌

JSON 表示法 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
字段
aud

string

Google 确定的受众群体。应根据本地配置进行检查。
email

string (UTF-8)

用户的电子邮件地址。
exp

string

到期时间。
iat

string

发卡时间。
iss

string

令牌颁发者。应针对可信的身份验证签发者集进行验证。
kacls_url

string

配置的基础 KACLS 网址，用于防止中间人 (PITM) 攻击。
role

string

包含以下某个值：

  • migrator：仅允许调用 rewrap。
  • verifier：仅允许调用 digest。