یک سرویس کلید سفارشی برای رمزگذاری سمت مشتری بسازید
با مجموعه‌ها، منظم بمانید
ذخیره و طبقه‌بندی محتوا براساس اولویت‌های شما.
می توانید به جای استفاده از رمزگذاری که Google Workspace ارائه می دهد، از کلیدهای رمزگذاری خود برای رمزگذاری داده های سازمان خود استفاده کنید. با Google Workspace Client-side Encryption (CSE)، رمزگذاری فایل قبل از ذخیره در فضای ذخیره‌سازی ابری Drive در مرورگر مشتری انجام می‌شود. به این ترتیب، سرورهای Google نمی توانند به کلیدهای رمزگذاری شما دسترسی داشته باشند و بنابراین، نمی توانند داده های شما را رمزگشایی کنند. برای جزئیات بیشتر، درباره رمزگذاری سمت سرویس گیرنده مراجعه کنید.
این API به شما امکان می دهد کلیدهای رمزگذاری سطح بالایی را کنترل کنید که از داده های شما با یک سرویس کلید خارجی سفارشی محافظت می کنند. پس از ایجاد یک سرویس کلید خارجی با این API، مدیران Google Workspace می توانند به آن متصل شده و CSE را برای کاربران خود فعال کنند.
اصطلاحات مهم
در زیر فهرستی از اصطلاحات رایج مورد استفاده در Google Workspace Client-side Encryption API آمده است:
- رمزگذاری سمت مشتری (CSE)
- رمزگذاری که قبل از ذخیره در فضای ذخیره‌سازی ابری در مرورگر مشتری انجام می‌شود. این کار از خواندن فایل توسط ارائه دهنده ذخیره سازی محافظت می کند. بیشتر بدانید
- سرویس فهرست کنترل دسترسی کلید (KACLS)
- سرویس کلید خارجی شما که از این API برای کنترل دسترسی به کلیدهای رمزگذاری ذخیره شده در یک سیستم خارجی استفاده می کند.
- ارائه دهنده هویت (IdP)
- سرویسی که کاربران را قبل از رمزگذاری فایل ها یا دسترسی به فایل های رمزگذاری شده احراز هویت می کند.
رمزگذاری و رمزگشایی
- کلید رمزگذاری داده ها (DEK)
- کلیدی که Google Workspace در سرویس گیرنده مرورگر برای رمزگذاری خود داده ها استفاده می کند.
- کلید رمزگذاری کلید (KEK)
- کلیدی از سرویس شما که برای رمزگذاری کلید رمزگذاری داده (DEK) استفاده می‌شود.
کنترل دسترسی
- لیست کنترل دسترسی (ACL)
- فهرستی از کاربران یا گروه هایی که می توانند فایلی را باز یا بخوانند.
- احراز هویت JSON Web Token (JWT)
- توکن حامل ( JWT: RFC 7516 ) که توسط شریک هویت (IdP) برای تأیید هویت کاربر صادر شده است.
- مجوز JSON Web Token (JWT)
- توکن حامل ( JWT: RFC 7516 ) توسط Google برای تأیید اینکه تماس‌گیرنده مجاز به رمزگذاری یا رمزگشایی یک منبع است صادر شده است.
- مجموعه کلیدهای وب JSON (JWKS)
- یک نشانی وب نقطه پایانی فقط خواندنی که به فهرستی از کلیدهای عمومی استفاده شده برای تأیید توکن های وب JSON (JWT) اشاره می کند.
- محیط
- بررسی‌های اضافی روی توکن‌های احراز هویت و مجوز در KACLS برای کنترل دسترسی انجام می‌شود.
فرآیند رمزگذاری سمت مشتری
پس از اینکه یک سرپرست CSE را برای سازمان خود فعال کرد، کاربرانی که CSE برای آنها فعال است می‌توانند با استفاده از ابزارهای ایجاد محتوای مشارکتی Google Workspace، مانند Docs و Sheets، اسناد رمزگذاری شده ایجاد کنند یا فایل‌هایی را که در Google Drive آپلود می‌کنند، مانند PDF، رمزگذاری کنند.
پس از اینکه کاربر یک سند یا فایل را رمزگذاری کرد:
Google Workspace یک DEK در مرورگر مشتری ایجاد می کند تا محتوا را رمزگذاری کند.
Google Workspace با استفاده از نشانی اینترنتی که به سرپرست سازمان Google Workspace ارائه می‌دهید، DEK و نشانه‌های احراز هویت را برای رمزگذاری به KACLS شخص ثالث شما ارسال می‌کند.
KACLS شما از این API برای رمزگذاری DEK استفاده می کند، سپس DEK مبهم و رمزگذاری شده را به Google Workspace می فرستد.
Google Workspace داده های مبهم و رمزگذاری شده را در فضای ابری ذخیره می کند. فقط کاربرانی که به KACLS شما دسترسی دارند می توانند به داده ها دسترسی داشته باشند.
برای جزئیات بیشتر، به رمزگذاری و رمزگشایی فایل‌ها مراجعه کنید.
مراحل بعدی
جز در مواردی که غیر از این ذکر شده باشد،محتوای این صفحه تحت مجوز Creative Commons Attribution 4.0 License است. نمونه کدها نیز دارای مجوز Apache 2.0 License است. برای اطلاع از جزئیات، به خطمشیهای سایت Google Developers مراجعه کنید. جاوا علامت تجاری ثبتشده Oracle و/یا شرکتهای وابسته به آن است.
تاریخ آخرین بهروزرسانی 2025-08-29 بهوقت ساعت هماهنگ جهانی.
[null,null,["تاریخ آخرین بهروزرسانی 2025-08-29 بهوقت ساعت هماهنگ جهانی."],[[["\u003cp\u003eGoogle Workspace Client-side Encryption (CSE) allows you to encrypt your organization's data with your own keys, preventing Google servers from accessing or decrypting it.\u003c/p\u003e\n"],["\u003cp\u003eThis API enables you to manage the encryption keys via an external key service, giving you control over data access.\u003c/p\u003e\n"],["\u003cp\u003eCSE encrypts files in the user's browser before they are stored in Google Drive, ensuring only authorized users with access to your external key service can decrypt them.\u003c/p\u003e\n"],["\u003cp\u003eWhen a file is encrypted, Google Workspace generates a Data Encryption Key (DEK), which is then encrypted by your external key service and stored with the encrypted data.\u003c/p\u003e\n"],["\u003cp\u003eTo get started, you can configure your external key service and learn how to encrypt and decrypt data using the provided guides.\u003c/p\u003e\n"]]],["Google Workspace Client-side Encryption (CSE) allows users to encrypt data in their browser before cloud storage. This is achieved by using your own external Key Access Control List Service (KACLS). Google Workspace generates a Data Encryption Key (DEK) and sends it to your KACLS for encryption with a Key Encryption Key (KEK). Your service then returns the encrypted DEK to Google Workspace. This ensures that only users with KACLS access can decrypt the stored data.\n"],null,["# Build a custom key service for client-side encryption\n\nYou can use your own encryption keys to encrypt your organization's data,\ninstead of using the encryption that Google Workspace provides. With Google Workspace Client-side Encryption (CSE), file encryption is handled in the\nclient's browser before it's stored in Drive's cloud-based storage. That way,\nGoogle servers can't access your encryption keys and, therefore, can't decrypt\nyour data. For more details, see\n[About client-side encryption](https://support.google.com/a/answer/10741897#zippy=%2Cbasic-setup-steps-for-cse).\n\nThis API lets you control the top-level encryption keys that protect your data\nwith a custom external key service. After you create an external key service\nwith this API, Google Workspace administrators can connect to it and enable CSE\nfor their users.\n\nImportant terminology\n---------------------\n\nBelow is a list of common terms used in the Google Workspace Client-side Encryption API:\n\n*Client-side encryption (CSE)*\n: Encryption that's handled in the client's browser before it's stored in\n cloud-based storage. This protects the file from being read by the storage\n provider. [Learn more](https://support.google.com/a/answer/10741897#zippy=%2Chow-is-cse-different-from-end-to-end-ee-encryption)\n\n*Key Access Control List Service (KACLS)*\n: Your external key service that uses this API to control access to encryption\n keys stored in an external system.\n\n*Identity Provider (IdP)*\n: The service that authenticates users before they can encrypt files or access\n encrypted files.\n\n### Encryption \\& decryption\n\n*Data Encryption Key (DEK)*\n: The key used by Google Workspace in the browser client to encrypt the data\n itself.\n\n*Key Encryption Key (KEK)*\n: A key from your service used to encrypt a Data Encryption Key (DEK).\n\n### Access control\n\n*Access Control List (ACL)*\n: A list of users or groups that can open or read a file.\n\n*Authentication JSON Web Token (JWT)*\n: Bearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\n issued by the identity partner (IdP) to attest a user's identity.\n\n*Authorization JSON Web Token (JWT)*\n: Bearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\n issued by Google to verify that the caller is authorized to encrypt or decrypt a resource.\n\n*JSON Web Key Set (JWKS)*\n: A read-only endpoint URL that points to a list of public keys used to verify\n JSON Web Tokens (JWT).\n\n*Perimeter*\n: Additional checks performed on the authentication and authorization tokens\n within the KACLS for access control.\n\nClient-side encryption process\n------------------------------\n\nAfter an administrator enables CSE for their organization, users for whom CSE is\nenabled can choose to create encrypted documents using the Google Workspace\ncollaborative content creation tools, like Docs and Sheets, or encrypt files\nthey upload to Google Drive, such as PDFs.\n\nAfter the user encrypts a document or file:\n\n1. Google Workspace generates a DEK in the client browser to encrypt the\n content.\n\n2. Google Workspace sends the DEK and authentication tokens to your third-party\n KACLS for encryption, using a URL you provide to the\n Google Workspace organization's administrator.\n\n3. Your KACLS uses this API to encrypt the DEK, then sends the obfuscated,\n encrypted DEK back to Google Workspace.\n\n4. Google Workspace stores the obfuscated, encrypted data in the cloud.\n Only users with access to your KACLS are able to access the data.\n\nFor more details, see [Encrypt and decrypt files](/workspace/cse/guides/encrypt-and-decrypt-data).\n\nNext steps\n----------\n\n- Learn how to [configure your service](/workspace/cse/guides/configure-service).\n- Learn how to [encrypt \\& decrypt data](/workspace/cse/guides/encrypt-and-decrypt-data)."]]
