יצירת שירות למפתחות הצפנה בהתאמה אישית להצפנה מצד הלקוח
קל לארגן דפים בעזרת אוספים
אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.
אתם יכולים להשתמש במפתחות הצפנה משלכם כדי להצפין את הנתונים של הארגון, במקום להשתמש בהצפנה ש-Google Workspace מספקת. בעזרת ההצפנה מצד הלקוח (CSE) ב-Google Workspace, הצפנת הקבצים מתבצעת בדפדפן של הלקוח לפני שהם מאוחסנים באחסון מבוסס-הענן של Drive. כך, לשרתים של Google לא תהיה גישה למפתחות ההצפנה שלכם, ולכן הם לא יוכלו לפענח את הנתונים שלכם. פרטים נוספים זמינים במאמר בנושא הצפנה מצד הלקוח.
ממשק ה-API הזה מאפשר לכם לשלוט במפתחות ההצפנה ברמה העליונה שמגנים על הנתונים שלכם באמצעות שירות מפתחות חיצוני בהתאמה אישית. אחרי שיוצרים שירות מפתחות חיצוני באמצעות ה-API הזה, אדמינים של Google Workspace יכולים להתחבר אליו ולהפעיל הצפנה מצד הלקוח עבור המשתמשים שלהם.
מונחים חשובים
ריכזנו כאן רשימה של מונחים נפוצים שמשמשים ב-Google Workspace Client-side Encryption API:
- הצפנה מצד הלקוח (CSE)
- הצפנה שמטופלת בדפדפן של הלקוח לפני שהיא מאוחסנת באחסון מבוסס-הענן. כך הקובץ מוגן מפני קריאה על ידי ספק האחסון. מידע נוסף
- Key Access Control List Service (KACLS)
- שירות המפתחות החיצוני שלכם שמשתמש ב-API הזה כדי לשלוט בגישה למפתחות הצפנה שמאוחסנים במערכת חיצונית.
- ספק זהויות (IdP)
- השירות שמאמת את המשתמשים לפני שהם יכולים להצפין קבצים או לגשת לקבצים מוצפנים.
הצפנה ופענוח
- מפתח להצפנת נתונים (DEK)
- המפתח שבו Google Workspace משתמשת בדפדפן הלקוח כדי להצפין את הנתונים עצמם.
- מפתח להצפנת מפתחות הצפנה (KEK)
- מפתח מהשירות שלכם שמשמש להצפנה של מפתח להצפנת נתונים (DEK).
בקרת גישה
- רשימה של בקרת גישה (ACL)
- רשימה של משתמשים או קבוצות שיכולים לפתוח או לקרוא קובץ.
- אסימון אינטרנט מסוג JSON (JWT) לאימות
- אסימון למוכ"ז (JWT: RFC 7516) שהונפק על ידי שותף הזהויות (IdP) כדי לאמת את זהות המשתמש.
- טוקן רשת מבוסס JSON (JWT) להרשאה
- אסימון Bearer (JWT: RFC 7516) שהונפק על ידי Google כדי לאמת שהמשתמש מורשה להצפין או לפענח משאב.
- קבוצת מפתחות JWK (JSON Web Key Set)
- כתובת URL של נקודת קצה לקריאה בלבד שמפנה לרשימה של מפתחות ציבוריים שמשמשים לאימות של אסימוני JWT (JSON Web Tokens).
- היקף
- בדיקות נוספות שמתבצעות באסימוני האימות וההרשאה בתוך KACLS לצורך בקרת גישה.
תהליך ההצפנה מצד הלקוח
אחרי שאדמין מפעיל את ההצפנה מצד הלקוח בארגון, משתמשים שההצפנה מצד הלקוח הופעלה עבורם יכולים ליצור מסמכים מוצפנים באמצעות כלי Google Workspace ליצירת תוכן שיתופי, כמו Docs ו-Sheets, או להצפין קבצים שהם מעלים ל-Google Drive, כמו קובצי PDF.
אחרי שהמשתמש מצפין מסמך או קובץ:
Google Workspace יוצר מפתח הצפנה (DEK) בדפדפן של הלקוח כדי להצפין את התוכן.
Google Workspace שולח את מפתח ה-DEK ואת אסימוני האימות ל-KACLS של צד שלישי לצורך הצפנה, באמצעות כתובת URL שאתם מספקים לאדמין של הארגון ב-Google Workspace.
ה-KACLS משתמש ב-API הזה כדי להצפין את ה-DEK, ואז שולח את ה-DEK המוצפן והמטושטש בחזרה ל-Google Workspace.
Google Workspace מאחסן את הנתונים המוצפנים והמוסתרים בענן.
רק משתמשים שיש להם גישה לרשימות בקרת הגישה שלכם יכולים לגשת לנתונים.
פרטים נוספים זמינים במאמר בנושא הצפנה ופענוח של קבצים.
השלבים הבאים
אלא אם צוין אחרת, התוכן של דף זה הוא ברישיון Creative Commons Attribution 4.0 ודוגמאות הקוד הן ברישיון Apache 2.0. לפרטים, ניתן לעיין במדיניות האתר Google Developers. Java הוא סימן מסחרי רשום של חברת Oracle ו/או של השותפים העצמאיים שלה.
עדכון אחרון: 2025-08-29 (שעון UTC).
[null,null,["עדכון אחרון: 2025-08-29 (שעון UTC)."],[[["\u003cp\u003eGoogle Workspace Client-side Encryption (CSE) allows you to encrypt your organization's data with your own keys, preventing Google servers from accessing or decrypting it.\u003c/p\u003e\n"],["\u003cp\u003eThis API enables you to manage the encryption keys via an external key service, giving you control over data access.\u003c/p\u003e\n"],["\u003cp\u003eCSE encrypts files in the user's browser before they are stored in Google Drive, ensuring only authorized users with access to your external key service can decrypt them.\u003c/p\u003e\n"],["\u003cp\u003eWhen a file is encrypted, Google Workspace generates a Data Encryption Key (DEK), which is then encrypted by your external key service and stored with the encrypted data.\u003c/p\u003e\n"],["\u003cp\u003eTo get started, you can configure your external key service and learn how to encrypt and decrypt data using the provided guides.\u003c/p\u003e\n"]]],["Google Workspace Client-side Encryption (CSE) allows users to encrypt data in their browser before cloud storage. This is achieved by using your own external Key Access Control List Service (KACLS). Google Workspace generates a Data Encryption Key (DEK) and sends it to your KACLS for encryption with a Key Encryption Key (KEK). Your service then returns the encrypted DEK to Google Workspace. This ensures that only users with KACLS access can decrypt the stored data.\n"],null,["# Build a custom key service for client-side encryption\n\nYou can use your own encryption keys to encrypt your organization's data,\ninstead of using the encryption that Google Workspace provides. With Google Workspace Client-side Encryption (CSE), file encryption is handled in the\nclient's browser before it's stored in Drive's cloud-based storage. That way,\nGoogle servers can't access your encryption keys and, therefore, can't decrypt\nyour data. For more details, see\n[About client-side encryption](https://support.google.com/a/answer/10741897#zippy=%2Cbasic-setup-steps-for-cse).\n\nThis API lets you control the top-level encryption keys that protect your data\nwith a custom external key service. After you create an external key service\nwith this API, Google Workspace administrators can connect to it and enable CSE\nfor their users.\n\nImportant terminology\n---------------------\n\nBelow is a list of common terms used in the Google Workspace Client-side Encryption API:\n\n*Client-side encryption (CSE)*\n: Encryption that's handled in the client's browser before it's stored in\n cloud-based storage. This protects the file from being read by the storage\n provider. [Learn more](https://support.google.com/a/answer/10741897#zippy=%2Chow-is-cse-different-from-end-to-end-ee-encryption)\n\n*Key Access Control List Service (KACLS)*\n: Your external key service that uses this API to control access to encryption\n keys stored in an external system.\n\n*Identity Provider (IdP)*\n: The service that authenticates users before they can encrypt files or access\n encrypted files.\n\n### Encryption \\& decryption\n\n*Data Encryption Key (DEK)*\n: The key used by Google Workspace in the browser client to encrypt the data\n itself.\n\n*Key Encryption Key (KEK)*\n: A key from your service used to encrypt a Data Encryption Key (DEK).\n\n### Access control\n\n*Access Control List (ACL)*\n: A list of users or groups that can open or read a file.\n\n*Authentication JSON Web Token (JWT)*\n: Bearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\n issued by the identity partner (IdP) to attest a user's identity.\n\n*Authorization JSON Web Token (JWT)*\n: Bearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\n issued by Google to verify that the caller is authorized to encrypt or decrypt a resource.\n\n*JSON Web Key Set (JWKS)*\n: A read-only endpoint URL that points to a list of public keys used to verify\n JSON Web Tokens (JWT).\n\n*Perimeter*\n: Additional checks performed on the authentication and authorization tokens\n within the KACLS for access control.\n\nClient-side encryption process\n------------------------------\n\nAfter an administrator enables CSE for their organization, users for whom CSE is\nenabled can choose to create encrypted documents using the Google Workspace\ncollaborative content creation tools, like Docs and Sheets, or encrypt files\nthey upload to Google Drive, such as PDFs.\n\nAfter the user encrypts a document or file:\n\n1. Google Workspace generates a DEK in the client browser to encrypt the\n content.\n\n2. Google Workspace sends the DEK and authentication tokens to your third-party\n KACLS for encryption, using a URL you provide to the\n Google Workspace organization's administrator.\n\n3. Your KACLS uses this API to encrypt the DEK, then sends the obfuscated,\n encrypted DEK back to Google Workspace.\n\n4. Google Workspace stores the obfuscated, encrypted data in the cloud.\n Only users with access to your KACLS are able to access the data.\n\nFor more details, see [Encrypt and decrypt files](/workspace/cse/guides/encrypt-and-decrypt-data).\n\nNext steps\n----------\n\n- Learn how to [configure your service](/workspace/cse/guides/configure-service).\n- Learn how to [encrypt \\& decrypt data](/workspace/cse/guides/encrypt-and-decrypt-data)."]]
