Votre service de liste de contrôle d'accès aux clés (KACLS) est configuré sans l'intervention de Google. Vous trouverez ci-dessous des informations sur les paramètres courants et les bonnes pratiques pour configurer votre service.
Paramètres opérationnels
L'API ne doit être disponible que via HTTPS avec TLS 1.2 ou version ultérieure et un certificat X.509 valide.
Le serveur d'API doit gérer CORS pour accéder au point de terminaison autorisé de Google :
https://client-side-encryption.google.com.Nous recommandons une latence maximale de 200 ms pour 99% des requêtes.
Paramètres du fournisseur d'autorisation
Utilisez les paramètres ci-dessous pour valider les jetons d'autorisation émis par Google lors du chiffrement côté client (CSE) :
| Contexte de l'application Google Workspace | URL du point de terminaison JWKS | Émetteur du jeton d'autorisation | Audience du jeton d'autorisation |
|---|---|---|---|
| Google Drive et outils de création collaborative de contenus, tels que Docs et Sheets | https://www.googleapis.com/service_accounts/v1/jwk/gsuitecse-tokenissuer-drive@system.gserviceaccount.com |
gsuitecse-tokenissuer-drive@system.gserviceaccount.com |
cse-authorization |
| CSE Meet | https://www.googleapis.com/service_accounts/v1/jwk/gsuitecse-tokenissuer-meet@system.gserviceaccount.com |
gsuitecse-tokenissuer-meet@system.gserviceaccount.com |
cse-authorization |
| CSE Agenda | https://www.googleapis.com/service_accounts/v1/jwk/gsuitecse-tokenissuer-calendar@system.gserviceaccount.com |
gsuitecse-tokenissuer-calendar@system.gserviceaccount.com |
cse-authorization |
| CSE Gmail | https://www.googleapis.com/service_accounts/v1/jwk/gsuitecse-tokenissuer-gmail@system.gserviceaccount.com |
gsuitecse-tokenissuer-gmail@system.gserviceaccount.com |
cse-authorization |
| Migration KACLS | https://www.googleapis.com/service_accounts/v1/jwk/apps-security-cse-kaclscommunication@system.gserviceaccount.com |
apps-security-cse-kaclscommunication@system.gserviceaccount.com |
cse-authorization |
Paramètres du fournisseur d'identité
Les paramètres ci-dessous sont requis pour chaque fournisseur d'identité (IdP) non Google avec lequel votre service fonctionne :
- Méthode de validation des jetons. Les jetons sont généralement validés par l'URL d'un fichier JSON Web Key Set (JWKS), mais il peut également s'agir des clés publiques elles-mêmes.
- Valeurs de l'émetteur et de l'audience : valeurs des champs
iss(émetteur) etaud(audience) utilisées par chaque fournisseur d'identité.
Paramètres de périmètre
Le concept de périmètre dans le chiffrement côté client (CSE) de Google Workspace permet de contrôler les accès aux clés de chiffrement à l'aide du KACLS. Les périmètres sont des vérifications supplémentaires facultatives effectuées sur les jetons d'authentification et d'autorisation dans le KACLS.
Les périmètres peuvent être utilisés pour :
- autoriser uniquement les utilisateurs des domaines de la liste d'autorisation à déchiffrer les clés ;
- bloquer les utilisateurs, tels que les administrateurs Google Workspace ;
- fournir des restrictions avancées. Exemple :
- Restrictions temporelles pour les employés de garde ou en congé
- Restrictions de géolocalisation pour empêcher l'accès à partir de lieux ou de réseaux spécifiques
- Accès basé sur le rôle ou le type d'utilisateur, tel qu'il est affirmé par un fournisseur d'identité
Vérifier la configuration de votre KACLS
Pour vérifier si votre KACLS est actif et correctement configuré, envoyez une
status requête. Vous pouvez également effectuer des auto-vérifications internes, telles que l'accessibilité KMS ou l'état du système de journalisation.