Tokeny uwierzytelniania

Token okaziciela (JWT: RFC 7519) wydany przez dostawcę tożsamości w celu potwierdzenia tożsamości użytkownika.

Zapis JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "google_email": string,
  ...
}
Pola
aud

string

Odbiorcy zidentyfikowani przez dostawcę tożsamości. Należy sprawdzić, czy są zgodni z konfiguracją lokalną.
email

string (UTF-8)

Adres e-mail użytkownika.
exp

string

Data ważności.
iat

string

Czas wydania.
iss

string

Wydawca tokena. Należy sprawdzić, czy jest zgodny z zaufanym zbiorem wydawców uwierzytelniania.
google_email

string

Opcjonalne twierdzenie, które należy stosować, gdy twierdzenie e-mail w tym tokenie JWT jest inne niż adres e-mail użytkownika w Google Workspace. To twierdzenie zawiera adres e-mail użytkownika w Google Workspace.
...

Usługa listy kontroli dostępu do kluczy (KACLS) może używać dowolnych innych deklaracji (lokalizacji, deklaracji niestandardowych itp.) do oceny granicy.

Token uwierzytelniania usługi listy kontroli dostępu do kluczy dla delegate

Token uwierzytelniania zawiera token sieciowy JSON (JWT) (JWT: RFC 7519), który jest tokenem uwierzytelniania okaziciela.

Czasami użytkownik nie może uwierzytelnić się bezpośrednio na kliencie. W takich przypadkach użytkownik może przekazać klientowi dostęp do określonego zasobu. Odbywa się to przez wydanie nowego tokena przekazanego uwierzytelniania, który ogranicza zakres oryginalnego tokena uwierzytelniania.

Token przekazanego uwierzytelniania jest podobny do zwykłego tokena uwierzytelniania, ale zawiera dodatkowe twierdzenie:

twierdzenie : stwierdzenie
delegated_to

string

Identyfikator podmiotu, któremu należy przekazać uwierzytelnianie.

Twierdzenie resource_name w tokenie uwierzytelniania jest w kontekście delegowania używane do identyfikowania obiektu zaszyfrowanego kluczem szyfrującym dane, dla którego delegowanie jest ważne.

Token jest wydawany przez usługę listy kontroli dostępu do kluczy za pomocą wywołania Delegate. Mogą to być tokeny JWT z podpisem własnym, które usługa listy kontroli dostępu do kluczy może zweryfikować, lub usługa listy kontroli dostępu do kluczy może użyć do tego dowolnego innego dostawcy tożsamości za pomocą zaufanego wywołania.

Aby token przekazanego uwierzytelniania był uznawany za prawidłowy, należy podać token przekazanej autoryzacji dla tej samej operacji. Token przekazanej autoryzacji jest podobny do zwykłego tokena autoryzacji, ale zawiera dodatkowe twierdzenie delegated_to. Wartości twierdzeń delegated_to i resource_name muszą być zgodne z wartościami w tokenie przekazanego uwierzytelniania.

Aby uniknąć potencjalnego ponownego użycia w przypadku wycieku danych, zalecamy ustawienie czasu życia tokenów przekazanego uwierzytelniania na 15 minut.

Zapis JSON 
{
  "email": string,
  "iss": string,
  "aud": string,
  "exp": string,
  "iat": string,
  "google_email": string,
  "delegated_to": string,
  "resource_name": string
  ...
}
Pola
email

string (UTF-8)

Adres e-mail użytkownika w formacie UTF-8.
iss

string

Wydawca tokena. Należy sprawdzić, czy jest zgodny z zaufanym zbiorem wydawców uwierzytelniania.
aud

string

Odbiorcy zidentyfikowani przez dostawcę tożsamości. Należy sprawdzić, czy są zgodni z konfiguracją lokalną.
exp

string

Data ważności. Należy ją sprawdzić.
iat

string

Czas wydania. Należy go sprawdzić.
delegated_to

string

Identyfikator podmiotu, któremu należy przekazać uwierzytelnianie.
resource_name

string

Identyfikator obiektu zaszyfrowanego kluczem szyfrującym dane, dla którego delegowanie jest ważne.
...

Usługa listy kontroli dostępu do kluczy może używać dowolnych innych deklaracji (lokalizacji, deklaracji niestandardowych, itp.) do oceny granicy.

Token uwierzytelniania usługi listy kontroli dostępu do kluczy dla PrivilegedUnwrap

Token okaziciela (JWT: RFC 7519) wydany przez dostawcę tożsamości (IdP) w celu potwierdzenia tożsamości użytkownika.

Jest on używany tylko w przypadku PrivilegedUnwrap. Podczas PrivilegedUnwrap, jeśli zamiast tokena uwierzytelniania dostawcy tożsamości używany jest token JWT usługi listy kontroli dostępu do kluczy, odbiorca musi najpierw pobrać JWKS wydawcy, a następnie zweryfikować podpis tokena przed sprawdzeniem twierdzeń.

Zapis JSON 
{
  "aud": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string
  ...
}
Pola
aud

string

Odbiorcy zidentyfikowani przez dostawcę tożsamości. W przypadku operacji szyfrowania po stronie klienta w Dysk Google (CSE) PrivilegedUnwrap powinna to być wartość kacls-migration.
exp

string

Data ważności.
iat

string

Czas wydania.
iss

string

Wydawca tokena. Należy sprawdzić, czy jest zgodny z zaufanym zbiorem wydawców uwierzytelniania. Musi być zgodny z KACLS_URL usługi listy kontroli dostępu do kluczy, która wysyła żądanie. Zbiór kluczy publicznych wydawcy można znaleźć pod adresem <iss>/certs.
kacls_url

string

Adres URL bieżącej usługi listy kontroli dostępu do kluczy, na której dane są odszyfrowywane.
resource_name

string

Identyfikator obiektu zaszyfrowanego kluczem szyfrującym dane. Maksymalny rozmiar: 128 bajtów.
...

Usługa listy kontroli dostępu do kluczy (KACLS) może używać dowolnych innych deklaracji (lokalizacji, deklaracji niestandardowych itp.) do oceny granicy.