الرموز المميزة للتفويض

رمز حامل (JWT: RFC 7519) صادر عن Google للتحقّق من أنّ المتصل مخوّل تشفير مورد أو فك تشفيره.

لمنع إساءة الاستخدام، يجب أن تتحقّق "خدمة قائمة التحكّم بالوصول إلى مفاتيح التشفير" (KACLS) من أنّ المتصل مخوّل تشفير العنصر (الملف أو المستند) قبل تغليف المفتاح وفك تشفيره قبل فك تغليف مفتاح تشفير البيانات (DEK).

رمز التفويض لميزة "التشفير من جهة العميل" في "مستندات Google" و"Google Drive" و"تقويم Google" و"Google Meet"

تمثيل JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب مقارنته بـ الإعدادات المحلية.
delegated_to

string

(اختياري) عنوان البريد الإلكتروني للمستخدم المخوّل بالوصول إلى المورد

email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدم
email_type

string

يحتوي على إحدى القيم التالية:

  • google: ينتمي هذا البريد الإلكتروني إلى حساب على Google.
  • google-visitor: لا ينتمي هذا البريد الإلكتروني إلى حساب Google، ولكن تم التحقّق منه باستخدام رمز PIN من قِبل Google.
  • customer-idp: لا ينتمي هذا البريد الإلكتروني إلى حساب Google، ولكن تم استخراج البريد الإلكتروني للمستخدم باستخدام موفِّر هوية (IdP) تم إعداده من قِبل العميل.
  • يمكن إزالة هذا الطلب، وفي هذه الحالة تكون القيمة التلقائية هي `google`.
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
iss

string

جهة إصدار الرمز يجب التحقّق من صحة جهة الإصدار مقارنةً بمجموعة جهات إصدار المصادقة الموثوق بها.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط
perimeter_id

string (UTF-8)

(اختياري) قيمة مرتبطة بموقع المستند يمكن استخدامها لاختيار المحيط الذي سيتم التحقّق منه عند فك التغليف الحد الأقصى للحجم: 128 بايت
resource_name

string (UTF-8)

معرّف للعنصر المشفّر باستخدام مفتاح تشفير البيانات (DEK) الحد الأقصى للحجم: 128 بايت.
role

string

يحتوي على إحدى القيم التالية:

  • reader: مسموح له باستدعاء unwrap فقط
  • writer: مسموح له باستدعاء كل من wrap و unwrap

رمز التفويض لميزة "التشفير من جهة العميل" في Gmail

تمثيل JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب مقارنته بـ الإعدادات المحلية.
email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدم
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
message_id

string

معرّف للرسالة التي يتم عليها فك التشفير أو التوقيع يتم إجراؤه. يُستخدم كسبب من جهة العميل لأغراض التدقيق.
iss

string

جهة إصدار الرمز يجب التحقّق من صحة جهة الإصدار مقارنةً بمجموعة جهات إصدار المصادقة الموثوق بها.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط
perimeter_id

string (UTF-8)

(اختياري) قيمة مرتبطة بموقع المستند يمكن استخدامها لاختيار المحيط الذي يتم التحقّق منه عند فك التغليف الحد الأقصى للحجم: 128 بايت.
resource_name

string (UTF-8)

معرّف للعنصر المشفّر باستخدام مفتاح تشفير البيانات (DEK) الحد الأقصى للحجم: 512 بايت
role

string

يحتوي على إحدى القيم التالية:

  • decrypter: يمكنه فك التشفير
  • signer: يمكنه التوقيع
spki_hash

string

ملخّص بترميز Base64 العادي لـ بترميز DER SubjectPublicKeyInfo للمفتاح الخاص الذي يتم الوصول إليه
spki_hash_algorithm

string

الخوارزمية المستخدَمة لإنتاج spki_hash يمكن أن تكون SHA-256.

رمز التفويض لخدمة نقل البيانات في KACLS

تمثيل JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب مقارنته بـ الإعدادات المحلية.
email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدم
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
iss

string

جهة إصدار الرمز يجب التحقّق من صحة جهة الإصدار مقارنةً بمجموعة جهات إصدار المصادقة الموثوق بها.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط
role

string

يحتوي على إحدى القيم التالية:

  • migrator: مسموح له باستدعاء rewrap فقط
  • verifier: مسموح له باستدعاء digest فقط