הגדרת השירות שלך

השירות של רשימת בקרת הגישה למפתחות (KACLS) מוגדר ללא התערבות של Google. בהמשך תוכלו לקרוא על הגדרות נפוצות ושיטות מומלצות להגדרת השירות.

הגדרות התפעול

  • ה-API צריך להיות זמין רק ב-HTTPS עם TLS 1.2 ואילך עם אישור X.509 חוקי.

  • שרת ה-API צריך לטפל ב-CORS כדי לגשת לנקודת הקצה המאושרת של Google: https://client-side-encryption.google.com.

  • מומלץ זמן אחזור מקסימלי של 200 אלפיות השנייה ל-99% מהבקשות.

הגדרות ספק ההרשאות

אפשר להשתמש בהגדרות הבאות כדי לאמת את אסימוני ההרשאה שהונפקו על ידי Google במהלך הצפנה מצד הלקוח (CSE):

ההקשר של אפליקציות Google Workspace כתובת ה-URL של נקודת הקצה של JWKS מנפיק אסימון הרשאה קהל של אסימון הרשאה
Google Drive וכלים לשיתוף פעולה ביצירת תוכן, כמו Docs ו-Sheets https://www.googleapis.com/service_accounts/v1/jwk/gsuitecse-tokenissuer-drive@system.gserviceaccount.com gsuitecse-tokenissuer-drive@system.gserviceaccount.com cse-authorization
הצפנה מצד הלקוח ב-Meet https://www.googleapis.com/service_accounts/v1/jwk/gsuitecse-tokenissuer-meet@system.gserviceaccount.com gsuitecse-tokenissuer-meet@system.gserviceaccount.com cse-authorization
הצפנה מצד הלקוח ביומן Google https://www.googleapis.com/service_accounts/v1/jwk/gsuitecse-tokenissuer-calendar@system.gserviceaccount.com gsuitecse-tokenissuer-calendar@system.gserviceaccount.com cse-authorization
הצפנה מצד הלקוח ב-Gmail https://www.googleapis.com/service_accounts/v1/jwk/gsuitecse-tokenissuer-gmail@system.gserviceaccount.com gsuitecse-tokenissuer-gmail@system.gserviceaccount.com cse-authorization
העברת KACLS https://www.googleapis.com/service_accounts/v1/jwk/apps-security-cse-kaclscommunication@system.gserviceaccount.com apps-security-cse-kaclscommunication@system.gserviceaccount.com cse-authorization

הגדרות ספק הזהויות

ההגדרות הבאות נדרשות לכל ספק זהויות (IdP) שאינו של Google שהשירות עובד איתו:

  • שיטה לאימות אסימונים. בדרך כלל, האסימונים מאומתים באמצעות כתובת URL לקובץ JSON Web Key Set (JWKS), אבל יכולים להיות גם המפתחות הציבוריים עצמם.
  • ערכי ההנפקה והקהל: ערכי השדות iss (המנפיק) ו-aud (קהל) שבהם משתמשים כל ספק זהויות.

הגדרות היקף

קונספט הגבולות בהצפנה מצד הלקוח (CSE) ב-Google Workspace משמש כדי לספק בקרת גישה למפתחות ההצפנה דרך KACLS. ההיקפים הם בדיקות אופציונליות נוספות שמתבצעות באסימוני האימות וההרשאה בתוך ה-KACLS.

ניתן להשתמש בהיקפים כדי:

  • רק משתמשים בדומיינים מרשימת ההיתרים יכולים לפענח מפתחות.
  • משתמשים ברשימת חסימה, כמו אדמינים ב-Google Workspace.
  • לספק הגבלות מתקדמות. לדוגמה:
    • הגבלות לפי זמן לעובדים בכוננות או לאנשים בחופשה
    • הגבלות על מיקום גיאוגרפי כדי למנוע גישה מרשתות או ממיקומים ספציפיים
    • גישה מבוססת-תפקיד או סוג של משתמש, כפי שנקבעה על ידי ספק זהויות

אימות הגדרות ה-KACLS

כדי לבדוק אם ה-KACLS פעיל ומוגדר כראוי, צריך לשלוח בקשת status. אפשר גם לבצע בדיקות עצמיות פנימיות, כמו נגישות של KMS או תקינות המערכת ביומן.