Токен носителя ( JWT: RFC 7516 ), выданный Google для проверки того, что вызывающая сторона имеет право шифровать или дешифровать ресурс.
Чтобы предотвратить злоупотребления, служба списков контроля доступа к ключам (KACLS) должна проверять, имеет ли вызывающая сторона право шифровать объект (файл или документ) перед упаковкой ключа и расшифровывать его перед развертыванием DEK.
Токен авторизации для Документов и Диска, Календаря и шифрования на стороне клиента Meet (CSE)
JSON-представление | |
---|---|
{ "aud": string, "email": string, "email_type": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string } |
Поля | |
---|---|
aud | Аудитория, определенная Google. Необходимо проверить соответствие локальной конфигурации. |
email | Адрес электронной почты пользователя. |
email_type | Содержит одно из следующих значений:
|
exp | Срок годности. |
iat | Время выдачи. |
iss | Эмитент токена. Должен быть проверен с помощью доверенного набора издателей аутентификации. |
kacls_url | Настроенный базовый URL-адрес KACLS, используемый для предотвращения атак «человек посередине» (PITM). |
perimeter_id | (Необязательно) Значение, привязанное к местоположению документа, которое можно использовать для выбора того, какой периметр будет проверяться при развертывании. Максимальный размер: 128 байт. |
resource_name | Идентификатор объекта, зашифрованного с помощью DEK. Максимальный размер: 128 байт. |
role | Содержит одно из следующих значений: |
Токен авторизации для Gmail CSE
JSON-представление | |
---|---|
{ "aud": string, "email": string, "exp": string, "iat": string, "message_id": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string, "spki_hash": string, "spki_hash_algorithm": string } |
Поля | |
---|---|
aud | Аудитория, определенная Google. Необходимо проверить соответствие локальной конфигурации. |
email | Адрес электронной почты пользователя. |
exp | Срок годности. |
iat | Время выдачи. |
message_id | Идентификатор сообщения, для которого выполняется расшифровка или подпись. Используется в качестве причины клиента в целях аудита. |
iss | Эмитент токена. Должен быть проверен с помощью доверенного набора издателей аутентификации. |
kacls_url | Настроенный базовый URL-адрес KACLS, используемый для предотвращения атак «человек посередине» (PITM). |
perimeter_id | (Необязательно) Значение, привязанное к местоположению документа, которое можно использовать для выбора того, какой периметр будет проверяться при развертывании. Максимальный размер: 128 байт. |
resource_name | Идентификатор объекта, зашифрованного с помощью DEK. Максимальный размер: 512 байт. |
role | Содержит одно из следующих значений:
|
spki_hash | Стандартный дайджест в кодировке Base64 для закодированного в DER объекта |
spki_hash_algorithm | Алгоритм, используемый для создания |
Токен авторизации для службы миграции KACLS
JSON-представление | |
---|---|
{ "aud": string, "email": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "resource_name": string, "role": string } |
Поля | |
---|---|
aud | Аудитория, определенная Google. Следует проверить соответствие локальной конфигурации. |
email | Адрес электронной почты пользователя. |
exp | Срок годности. |
iat | Время выдачи. |
iss | Эмитент токена. Должен быть проверен с помощью доверенного набора издателей аутентификации. |
kacls_url | Настроенный базовый URL-адрес KACLS, используемый для предотвращения атак «человек посередине» (PITM). |
role | Содержит одно из следующих значений: |