Token di autorizzazione

Token di autenticazione (JWT: RFC 7516) emesso da Google per verificare che il chiamante sia autorizzato a criptare o decriptare una risorsa.

Per evitare abusi, il servizio di controllo dell'accesso per le chiavi (KACLS) deve verificare che il chiamante sia autorizzato a criptare l'oggetto (file o documento) prima di eseguire il wrapping della chiave e a decriptarlo prima di annullare il wrapping della DEK.

Token di autorizzazione per la crittografia lato client (CSE) di Documenti e Drive, Calendar e Meet

Rappresentazione JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
Campi
aud

string

Il pubblico, come identificato da Google. Deve essere verificato in base alla configurazione locale.
delegated_to

string

(Facoltativo) L'indirizzo email dell'utente autorizzato ad accedere alla risorsa.
email

string (UTF-8)

L'indirizzo email dell'utente.
email_type

string

Contiene uno dei seguenti valori:

  • google: Questo indirizzo email appartiene a un Account Google.
  • google-visitor: questo indirizzo email non appartiene a un Account Google, ma è stato verificato da Google tramite codice PIN.
  • customer-idp: questa email non appartiene a un Account Google, ma l'email dell'utente è stata estratta utilizzando un IdP configurato dal cliente.
  • L'attestazione può essere annullata; in questo caso, il valore predefinito è "google".
exp

string

Ora di scadenza.
iat

string

Ora di emissione.
iss

string

L'emittente del token. Deve essere convalidato rispetto al set attendibile di emittenti di autenticazione.
kacls_url

string

L'URL KACLS di base configurato, utilizzato per impedire attacchi man-in-the-middle (MITM).
perimeter_id

string (UTF-8)

(Facoltativo) Un valore associato alla posizione del documento che può essere utilizzato per scegliere quale perimetro verrà controllato durante l'unwrapping. Dimensione massima: 128 byte.
resource_name

string (UTF-8)

Un identificatore dell'oggetto criptato dalla DEK. Dimensione massima: 128 byte.
role

string

Contiene uno dei seguenti valori:

  • reader: autorizzato a chiamare solo unwrap.
  • writer: autorizzato a chiamare sia wrap sia unwrap

Token di autorizzazione per la crittografia lato client di Gmail

Rappresentazione JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
Campi
aud

string

Il pubblico, come identificato da Google. Deve essere verificato in base alla configurazione locale.
email

string (UTF-8)

L'indirizzo email dell'utente.
exp

string

Ora di scadenza.
iat

string

Ora di emissione.
message_id

string

Un identificatore per il messaggio su cui viene eseguita la decrittografia o la firma. Utilizzato come motivo del cliente per scopi di audit.
iss

string

L'emittente del token. Deve essere convalidato rispetto al set attendibile di emittenti di autenticazione.
kacls_url

string

L'URL KACLS di base configurato, utilizzato per impedire attacchi man-in-the-middle (MITM).
perimeter_id

string (UTF-8)

(Facoltativo) Un valore associato alla posizione del documento che può essere utilizzato per scegliere quale perimetro viene controllato durante l'unwrapping. Dimensione massima: 128 byte.
resource_name

string (UTF-8)

Un identificatore dell'oggetto criptato dalla DEK. Dimensione massima: 512 byte.
role

string

Contiene uno dei seguenti valori:

  • decrypter: può decriptare.
  • signer: Può firmare.
spki_hash

string

Digest con codifica Base64 standard del SubjectPublicKeyInfo con codifica DER della chiave privata a cui si accede.
spki_hash_algorithm

string

Algoritmo utilizzato per produrre spki_hash. Può essere SHA-256.

Token di autorizzazione per il servizio di migrazione KACLS

Rappresentazione JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
Campi
aud

string

Il pubblico, come identificato da Google. Deve essere verificato in base alla configurazione locale.
email

string (UTF-8)

L'indirizzo email dell'utente.
exp

string

Ora di scadenza.
iat

string

Ora di emissione.
iss

string

L'emittente del token. Deve essere convalidato rispetto al set attendibile di emittenti di autenticazione.
kacls_url

string

L'URL KACLS di base configurato, utilizzato per impedire attacchi man-in-the-middle (MITM).
role

string

Contiene uno dei seguenti valori:

  • migrator: autorizzato a chiamare solo rewrap.
  • verifier: autorizzato a chiamare solo digest.