Jetons d'autorisation

Jeton du porteur (JWT : RFC 7516) émis par Google pour vérifier que l'appelant est autorisé à chiffrer ou déchiffrer une ressource.

Pour éviter tout abus, le service de liste de contrôle d'accès aux clés (KACLS) doit vérifier que l'appelant est autorisé à chiffrer l'objet (fichier ou document) avant d'encapsuler la clé et à le déchiffrer avant de désencapsuler la DEK.

Jeton d'autorisation pour le chiffrement côté client (CSE) de Docs et Drive, Calendar et Meet

Représentation JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
Champs
aud

string

Audience, telle qu'identifiée par Google. Doit être vérifié par rapport à la configuration locale.
delegated_to

string

(Facultatif) Adresse e-mail de l'utilisateur autorisé à accéder à la ressource.
email

string (UTF-8)

Adresse e-mail de l'utilisateur.
email_type

string

Contient l'une des valeurs suivantes :

  • google : cette adresse e-mail appartient à un compte Google.
  • google-visitor : cette adresse e-mail n'appartient pas à un compte Google, mais a été validée par Google à l'aide d'un code.
  • customer-idp : cette adresse e-mail n'appartient pas à un compte Google, mais elle a été extraite à l'aide d'un IdP configuré par le client.
  • La revendication peut être supprimée. Dans ce cas, la valeur par défaut est "google".
exp

string

Date d'expiration.
iat

string

Heure d'émission.
iss

string

Émetteur de jeton. Doit être validé par rapport à l'ensemble approuvé d'émetteurs d'authentification.
kacls_url

string

URL KACLS de base configurée, utilisée pour éviter les attaques de type "person in the middle" (PITM).
perimeter_id

string (UTF-8)

(Facultatif) Valeur associée à l'emplacement du document, qui peut être utilisée pour choisir le périmètre à vérifier lors du déchiffrement. Taille maximale : 128 octets.
resource_name

string (UTF-8)

Identifiant de l'objet chiffré par la clé de chiffrement des données. Taille maximale : 128 octets.
role

string

Contient l'une des valeurs suivantes :

  • reader : autorisé à appeler uniquement unwrap.
  • writer : autorisé à appeler à la fois wrap et unwrap

Jeton d'autorisation pour le CSE Gmail

Représentation JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
Champs
aud

string

Audience, telle qu'identifiée par Google. Doit être vérifié par rapport à la configuration locale.
email

string (UTF-8)

Adresse e-mail de l'utilisateur.
exp

string

Date d'expiration.
iat

string

Heure d'émission.
message_id

string

Identifiant du message sur lequel le déchiffrement ou la signature sont effectués. Utilisé comme motif client à des fins d'audit.
iss

string

Émetteur de jeton. Doit être validé par rapport à l'ensemble approuvé d'émetteurs d'authentification.
kacls_url

string

URL KACLS de base configurée, utilisée pour éviter les attaques de type "person in the middle" (PITM).
perimeter_id

string (UTF-8)

(Facultatif) Valeur associée à l'emplacement du document, qui peut être utilisée pour choisir le périmètre à vérifier lors du déchiffrement. Taille maximale : 128 octets.
resource_name

string (UTF-8)

Identifiant de l'objet chiffré par la clé de chiffrement des données. Taille maximale : 512 octets.
role

string

Contient l'une des valeurs suivantes :

  • decrypter : peut déchiffrer.
  • signer : peut signer.
spki_hash

string

Digest standard encodé en base64 de l'SubjectPublicKeyInfo encodé au format DER de la clé privée à laquelle l'utilisateur accède.
spki_hash_algorithm

string

Algorithme utilisé pour générer spki_hash. Valeurs autorisées : SHA-256.

Jeton d'autorisation pour le service de migration KACLS

Représentation JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
Champs
aud

string

Audience, telle qu'identifiée par Google. Doit être vérifié par rapport à la configuration locale.
email

string (UTF-8)

Adresse e-mail de l'utilisateur.
exp

string

Date d'expiration.
iat

string

Heure d'émission.
iss

string

Émetteur de jeton. Doit être validé par rapport à l'ensemble approuvé d'émetteurs d'authentification.
kacls_url

string

URL KACLS de base configurée, utilisée pour éviter les attaques de type "person in the middle" (PITM).
role

string

Contient l'une des valeurs suivantes :

  • migrator : autorisé à appeler uniquement rewrap.
  • verifier : autorisé à appeler uniquement digest.