Mã thông báo uỷ quyền

Mã thông báo của người mang (JWT: RFC 7519) do Google phát hành để xác minh rằng phương thức gọi được phép mã hoá hoặc giải mã một tài nguyên.

Để ngăn chặn hành vi sai trái, Dịch vụ danh sách kiểm soát quyền truy cập khoá (KACLS) phải xác minh rằng người gọi được phép mã hoá đối tượng (tệp hoặc tài liệu) trước khi bao bọc khoá và giải mã đối tượng đó trước khi mở gói DEK.

Mã thông báo uỷ quyền cho tính năng mã hoá phía máy khách (CSE) của Google Tài liệu và Google Drive, Lịch Google và Google Meet

Biểu diễn dưới dạng JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
Trường
aud

string

Đối tượng do Google xác định. Cần được kiểm tra dựa trên cấu hình cục bộ.
delegated_to

string

(Không bắt buộc) Địa chỉ email của người dùng được uỷ quyền truy cập vào tài nguyên.
email

string (UTF-8)

Địa chỉ email của người dùng.
email_type

string

Chứa một trong những giá trị sau:

  • google: Email này thuộc về một Tài khoản Google.
  • google-visitor: Email này không thuộc về một Tài khoản Google, nhưng đã được Google xác minh bằng mã PIN.
  • customer-idp: Email này không thuộc về Tài khoản Google, nhưng email của người dùng được trích xuất bằng IdP do khách hàng định cấu hình.
  • Bạn có thể huỷ đặt giá trị cho xác nhận quyền sở hữu; trong trường hợp đó, giá trị mặc định là "google".
exp

string

Thời gian hết hạn.
iat

string

Thời gian phát hành.
iss

string

Tổ chức phát hành mã thông báo. Phải được xác thực dựa trên bộ phát hành xác thực đáng tin cậy.
kacls_url

string

URL KACLS cơ sở đã định cấu hình, được dùng để ngăn chặn các cuộc tấn công xen giữa (PITM).
perimeter_id

string (UTF-8)

(Không bắt buộc) Giá trị được liên kết với vị trí của tài liệu có thể dùng để chọn chu vi sẽ được kiểm tra khi mở gói. Kích thước tối đa: 128 byte.
resource_name

string (UTF-8)

Giá trị nhận dạng của đối tượng được mã hoá bằng DEK. Kích thước tối đa: 128 byte.
role

string

Chứa một trong những giá trị sau:

  • reader: Chỉ được phép gọi đến unwrap.
  • writer: Được phép gọi cả wrap và unwrap

Mã thông báo uỷ quyền cho CSE của Gmail

Biểu diễn dưới dạng JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
Trường
aud

string

Đối tượng do Google xác định. Cần được kiểm tra dựa trên cấu hình cục bộ.
email

string (UTF-8)

Địa chỉ email của người dùng.
exp

string

Thời gian hết hạn.
iat

string

Thời gian phát hành.
message_id

string

Giá trị nhận dạng của thông báo mà quá trình giải mã hoặc ký được thực hiện. Được dùng làm lý do của khách hàng cho mục đích kiểm tra.
iss

string

Tổ chức phát hành mã thông báo. Phải được xác thực dựa trên bộ phát hành xác thực đáng tin cậy.
kacls_url

string

URL KACLS cơ sở đã định cấu hình, được dùng để ngăn chặn các cuộc tấn công xen giữa (PITM).
perimeter_id

string (UTF-8)

(Không bắt buộc) Giá trị được liên kết với vị trí của tài liệu có thể dùng để chọn chu vi được kiểm tra khi mở gói. Kích thước tối đa: 128 byte.
resource_name

string (UTF-8)

Giá trị nhận dạng của đối tượng được mã hoá bằng DEK. Kích thước tối đa: 512 byte.
role

string

Chứa một trong những giá trị sau:

  • decrypter: Có thể giải mã.
  • signer: Có thể ký.
spki_hash

string

Tiêu chuẩn được mã hoá dưới dạng base64 của nội dung tiêu hoá được mã hoá DER SubjectPublicKeyInfo của khoá riêng tư đang được truy cập.
spki_hash_algorithm

string

Thuật toán dùng để tạo spki_hash. Có thể là SHA-256.

Mã thông báo uỷ quyền cho dịch vụ di chuyển KACLS

Biểu diễn dưới dạng JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
Trường
aud

string

Đối tượng do Google xác định. Cần được kiểm tra dựa trên cấu hình cục bộ.
email

string (UTF-8)

Địa chỉ email của người dùng.
exp

string

Thời gian hết hạn.
iat

string

Thời gian phát hành.
iss

string

Tổ chức phát hành mã thông báo. Phải được xác thực dựa trên bộ phát hành xác thực đáng tin cậy.
kacls_url

string

URL KACLS cơ sở đã định cấu hình, được dùng để ngăn chặn các cuộc tấn công xen giữa (PITM).
role

string

Chứa một trong những giá trị sau:

  • migrator: Chỉ được phép gọi đến rewrap.
  • verifier: Chỉ được phép gọi đến digest.