認証トークン

ユーザーの ID を証明するために、ID パートナー（IdP）によって発行されるベアラートークン（JWT: RFC 7516）。

JSON 表現 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "google_email": string,
  ...
}
フィールド
aud

string

IdP によって識別されたオーディエンス。ローカル構成と照らし合わせて確認する必要があります。
email

string (UTF-8)

ユーザーのメール アドレスです。
exp

string

有効期限。
iat

string

発行時間。
iss

string

トークン発行者。信頼できる認証発行元のセットと照合して検証する必要があります。
google_email

string

省略可能なクレーム。この JWT のメール クレームがユーザーの Google Workspace メール ID と異なる場合に使用します。このクレームには、ユーザーの Google Workspace メール ID が含まれます。
...

鍵アクセス制御リスト サービス（KACLS）は、他のクレーム（位置情報、カスタム クレームなど）を使用して境界を評価できます。

PrivilegedUnwrap の KACLS 認証トークン

ユーザーの ID を証明するために、ID パートナー（IdP）によって発行されるベアラートークン（JWT: RFC 7516）。

これは PrivilegedUnwrap でのみ使用されます。PrivilegedUnwrap で、IDP 認証トークンの代わりに KACLS JWT が使用されている場合、受信側の KACLS は、まず発行元の JWKS を取得し、次にトークン署名を検証してから、クレームを確認する必要があります。

JSON 表現 
{
  "aud": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string
  ...
}
フィールド
aud

string

IdP によって識別されたオーディエンス。ドライブのクライアントサイド暗号化（CSE）PrivilegedUnwrap オペレーションの場合は、kacls-migration にする必要があります。
exp

string

有効期限。
iat

string

発行時間。
iss

string

トークン発行者。信頼できる認証発行元のセットと照合して検証する必要があります。リクエスト元の KACLS の KACLS_URL と一致している必要があります。発行元の公開鍵セットは /certs にあります。
kacls_url

string

データが復号されている現在の KACLS の URL。
resource_name

string

DEK によって暗号化されたオブジェクトの識別子。最大サイズ: 128 バイト。
...

鍵アクセス制御リスト サービス（KACLS）は、他のクレーム（位置情報、カスタム クレームなど）を使用して境界を評価できます。