الرموز المميزة للتفويض

رمز مميّز لحامل البطاقة (JWT: RFC 7519) صادر عن Google للتحقّق من أنّ مقدّم الطلب لديه الإذن بتشفير مورد أو فك تشفيره.

لمنع إساءة الاستخدام، يجب أن تتحقّق "خدمة قائمة التحكّم بالوصول إلى مفاتيح التشفير" (KACLS) من أنّ الجهة الطالبة لديها الإذن بتشفير العنصر (الملف أو المستند) قبل تغليف المفتاح، ومن فك تشفيره قبل فك تغليف مفتاح تشفير البيانات (DEK).

رمز التفويض لميزة "التشفير من جهة العميل" في "مستندات Google" وGoogle Drive و"تقويم Google" وGoogle Meet

تمثيل JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب التحقّق من ذلك مقارنةً بالإعدادات المحلية.
delegated_to

string

(اختياري) عنوان البريد الإلكتروني للمستخدم المفوَّض بالوصول إلى المورد.
email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدِم.
email_type

string

يحتوي على إحدى القيم التالية:

  • google: ينتمي هذا البريد الإلكتروني إلى حساب على Google.
  • google-visitor: لا ينتمي عنوان البريد الإلكتروني هذا إلى حساب على Google، ولكن تم إثبات ملكيته باستخدام رمز PIN من Google.
  • customer-idp: لا ينتمي عنوان البريد الإلكتروني هذا إلى حساب على Google، ولكن تم استخراج عنوان البريد الإلكتروني للمستخدم باستخدام موفِّر هوية (IdP) أعدّه العميل.
  • يمكن إلغاء ضبط المطالبة، وفي هذه الحالة تكون القيمة التلقائية هي `google`.
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
iss

string

تمثّل هذه السمة جهة إصدار الرمز المميّز. يجب أن يتم التحقّق من صحة هذا المعرّف استنادًا إلى مجموعة موثوقة من جهات إصدار المصادقة.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط.
perimeter_id

string (UTF-8)

(اختياري) قيمة مرتبطة بموقع المستند يمكن استخدامها لاختيار المحيط الذي سيتم التحقّق منه عند فك التشفير. الحد الأقصى للحجم: 128 بايت.
resource_name

string (UTF-8)

معرّف للعنصر المشفّر باستخدام مفتاح تشفير البيانات الحد الأقصى للحجم: 128 بايت.
role

string

يحتوي على إحدى القيم التالية:

  • reader: مسموح بالاتصال بالرقم unwrap فقط.
  • writer: مسموح له بالاتصال بكل من wrap وunwrap

رمز التفويض لميزة "التشفير من جهة العميل" في Gmail

تمثيل JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب التحقّق من ذلك مقارنةً بالإعدادات المحلية.
email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدِم.
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
message_id

string

معرّف للرسالة التي يتم عليها تنفيذ عملية فك التشفير أو التوقيع تُستخدَم كسبب العميل لأغراض التدقيق.
iss

string

تمثّل هذه السمة جهة إصدار الرمز المميّز. يجب أن يتم التحقّق من صحة هذا الحقل مقارنةً بمجموعة الجهات الموثوق بها التي تصدر بيانات المصادقة.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط.
perimeter_id

string (UTF-8)

(اختياري) قيمة مرتبطة بموقع المستند يمكن استخدامها لاختيار المحيط الذي يتم التحقّق منه عند فك التشفير. الحد الأقصى للحجم: 128 بايت.
resource_name

string (UTF-8)

معرّف للعنصر المشفّر باستخدام مفتاح تشفير البيانات الحد الأقصى للحجم: 512 بايت.
role

string

يحتوي على إحدى القيم التالية:

  • ‫decrypter: يمكن فك التشفير.
  • ‫signer: يمكنه التوقيع.
spki_hash

string

الملخّص العادي بترميز Base64 لشهادة DER SubjectPublicKeyInfo للمفتاح الخاص الذي يتم الوصول إليه.
spki_hash_algorithm

string

الخوارزمية المستخدَمة لإنتاج spki_hash يمكن أن يكون SHA-256.

رمز التفويض لخدمة نقل KACLS

تمثيل JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب التحقّق من ذلك مقارنةً بالإعدادات المحلية.
email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدِم.
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
iss

string

تمثّل هذه السمة جهة إصدار الرمز المميّز. يجب أن يتم التحقّق من صحة هذا المعرّف استنادًا إلى مجموعة موثوقة من جهات إصدار المصادقة.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط.
role

string

يحتوي على إحدى القيم التالية:

  • migrator: مسموح بالاتصال بالرقم rewrap فقط.
  • verifier: مسموح بالاتصال بالرقم digest فقط.