توکن های مجوز

توکن حامل ( JWT: RFC 7516 ) که توسط گوگل صادر شده است تا تأیید کند که فراخوانی‌کننده مجاز به رمزگذاری یا رمزگشایی یک منبع است.

برای جلوگیری از سوءاستفاده، سرویس فهرست کنترل دسترسی کلید (KACLS) باید تأیید کند که تماس‌گیرنده قبل از بسته‌بندی کلید، مجاز به رمزگذاری شیء (فایل یا سند) و قبل از باز کردن DEK، مجاز به رمزگشایی آن است.

توکن مجوز برای رمزگذاری سمت کلاینت Docs & Drive، Calendar و Meet (CSE)

نمایش JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
فیلدها
aud

string

مخاطب، همانطور که توسط گوگل شناسایی شده است. باید با پیکربندی محلی بررسی شود.

delegated_to

string

(اختیاری) آدرس ایمیل کاربری که مجاز به دسترسی به منبع است.

email

string (UTF-8)

آدرس ایمیل کاربر.

email_type

string

شامل یکی از مقادیر زیر است:

  • google : این ایمیل متعلق به یک حساب گوگل است.
  • google-visitor : این ایمیل متعلق به یک حساب گوگل نیست، اما توسط گوگل با پین کد تأیید شده است.
  • customer-idp : این ایمیل متعلق به یک حساب گوگل نیست، اما ایمیل کاربر با استفاده از یک IdP پیکربندی شده توسط مشتری استخراج شده است.
  • این ادعا می‌تواند لغو شود؛ در این صورت مقدار پیش‌فرض `google` است.
exp

string

زمان انقضا.

iat

string

زمان صدور.

iss

string

صادرکننده توکن. باید در برابر مجموعه قابل اعتماد صادرکنندگان احراز هویت، اعتبارسنجی شود.

kacls_url

string

URL پایه پیکربندی‌شده KACLS که برای جلوگیری از حملات شخص در وسط (PITM) استفاده می‌شود.

perimeter_id

string (UTF-8)

(اختیاری) مقداری که به مکان سند گره خورده است و می‌تواند برای انتخاب اینکه کدام محیط هنگام باز کردن بررسی شود، استفاده شود. حداکثر اندازه: ۱۲۸ بایت.

resource_name

string (UTF-8)

شناسه‌ای برای شیء رمزگذاری شده توسط DEK. حداکثر اندازه: ۱۲۸ بایت.

role

string

شامل یکی از مقادیر زیر است:

  • reader : فقط مجاز به فراخوانی unwrap است.
  • writer : مجاز به فراخوانی هر دو wrap و unwrap

توکن مجوز برای Gmail CSE

نمایش JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
فیلدها
aud

string

مخاطب، همانطور که توسط گوگل شناسایی شده است. باید با پیکربندی محلی بررسی شود.

email

string (UTF-8)

آدرس ایمیل کاربر.

exp

string

زمان انقضا.

iat

string

زمان صدور.

message_id

string

شناسه‌ای برای پیامی که رمزگشایی یا امضا روی آن انجام می‌شود. به عنوان دلیل کلاینت برای اهداف حسابرسی استفاده می‌شود.

iss

string

صادرکننده توکن. باید در برابر مجموعه قابل اعتماد صادرکنندگان احراز هویت، اعتبارسنجی شود.

kacls_url

string

URL پایه پیکربندی‌شده KACLS که برای جلوگیری از حملات شخص در وسط (PITM) استفاده می‌شود.

perimeter_id

string (UTF-8)

(اختیاری) مقداری که به مکان سند گره خورده است و می‌تواند برای انتخاب اینکه کدام محیط هنگام باز کردن بررسی شود، استفاده شود. حداکثر اندازه: ۱۲۸ بایت.

resource_name

string (UTF-8)

شناسه‌ای برای شیء رمزگذاری شده توسط DEK. حداکثر اندازه: ۵۱۲ بایت.

role

string

شامل یکی از مقادیر زیر است:

  • decrypter : می‌تواند رمزگشایی کند.
  • signer : می‌تواند امضا کند.
spki_hash

string

خلاصه‌ای از SubjectPublicKeyInfo که با کد DER و به صورت استاندارد با کد base64 کدگذاری شده و کلید خصوصی مورد دسترسی را نشان می‌دهد.

spki_hash_algorithm

string

الگوریتم مورد استفاده برای تولید spki_hash . می‌تواند SHA-256 باشد.

توکن مجوز برای سرویس مهاجرت KACLS

نمایش JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
فیلدها
aud

string

مخاطب، همانطور که توسط گوگل شناسایی شده است. باید با پیکربندی محلی بررسی شود.

email

string (UTF-8)

آدرس ایمیل کاربر.

exp

string

زمان انقضا.

iat

string

زمان صدور.

iss

string

صادرکننده توکن. باید در برابر مجموعه قابل اعتماد صادرکنندگان احراز هویت، اعتبارسنجی شود.

kacls_url

string

URL پایه پیکربندی‌شده KACLS که برای جلوگیری از حملات شخص در وسط (PITM) استفاده می‌شود.

role

string

شامل یکی از مقادیر زیر است:

  • migrator : فقط مجاز به فراخوانی rewrap است.
  • verifier : فقط مجاز به فراخوانی digest است.