Kimlik doğrulama jetonları

Kullanıcının kimliğini onaylamak için kimlik iş ortağı (IdP) tarafından verilen taşıyıcı jeton (JWT: RFC 7516).

{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "google_email": string,
  ...
}

delegate için KACLS kimlik doğrulama jetonu

Kimlik doğrulama jetonu, taşıyıcı kimlik doğrulama jetonu olan bir JSON Web Jetonu (JWT) (JWT: RFC 7516) içerir.

Bazen kullanıcılar doğrudan bir istemcide kimlik doğrulaması yapamaz. Bu durumlarda kullanıcı, belirli bir kaynağa erişimini istemciye yetkilendirebilir. Bu, orijinal kimlik doğrulama jetonunun kapsamını sınırlayan yeni bir yetkilendirilmiş kimlik doğrulama jetonu verilerek sağlanır.

Temsilci kimlik doğrulama jetonu, normal kimlik doğrulama jetonuna benzer ancak bir ek talep içerir:

Kimlik doğrulama jetonundaki resource_name talebi, bir yetki verme bağlamında, yetki vermenin geçerli olduğu veri şifreleme anahtarı (DEK) ile şifrelenen nesneyi tanımlamak için kullanılır.

Jeton, Delegate çağrısı kullanılarak Anahtar Erişim Kontrol Listesi Hizmeti (KACLS) tarafından verilir. KACLS'nin doğrulayabildiği kendinden imzalı JWT'ler olabilir veya KACLS, güvenilir bir çağrı aracılığıyla bunu yapmak için başka bir IdP kullanabilir.

Yetkilendirilmiş kimlik doğrulama jetonunun geçerli sayılması için aynı işlem için yetkilendirilmiş bir yetki jetonu sağlanmalıdır. Yetki verilmiş yetkilendirme jetonu, normal yetkilendirme jetonuna benzer ancak ek delegated_to talebini içerir. delegated_to ve resource_name taleplerinin değerleri, yetkilendirilmiş kimlik doğrulama jetonundaki değerlerle eşleşmelidir.

Sızma durumunda olası yeniden kullanımı önlemek için, temsilci kimlik doğrulama jetonlarının kullanım ömrünü 15 dakika olarak ayarlamanızı öneririz.

{
  "email": string,
  "iss": string,
  "aud": string,
  "exp": string,
  "iat": string,
  "google_email": string,
  "delegated_to": string,
  "resource_name": string
  ...
}

PrivilegedUnwrap için KACLS kimlik doğrulama jetonu

Kullanıcının kimliğini onaylamak için kimlik iş ortağı (IdP) tarafından verilen taşıyıcı jeton (JWT: RFC 7516).

Bu yalnızca PrivilegedUnwrap üzerinde kullanılır. PrivilegedUnwrap sırasında, IdP kimlik doğrulama jetonu yerine KACLS JWT'si kullanılıyorsa alıcı KACLS'nin önce veren tarafın JWKS'sini getirmesi, ardından talepleri kontrol etmeden önce jeton imzasını doğrulaması gerekir.

{
  "aud": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string
  ...
}