認証トークン

ユーザーの ID を証明するために ID パートナー（IdP）によって発行される署名なしトークン（JWT: RFC 7516）。

JSON 表現 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "google_email": string,
  ...
}
フィールド
aud

string

IdP によって識別されたオーディエンス。ローカル構成と照らし合わせてチェックする必要があります。
email

string (UTF-8)

ユーザーのメール アドレスです。
exp

string

有効期限。
iat

string

発行時間。
iss

string

トークン発行者。信頼できる認証発行元のセットと照らし合わせて検証する必要があります。
google_email

string

この JWT のメール クレームがユーザーの Google Workspace メール ID と異なる場合に使用されるオプションのクレーム。このクレームにはユーザーの Google Workspace メール ID が含まれます。
...

鍵アクセス制御リストサービス（KACLS）では、境界の評価に他のクレーム（ロケーション、カスタム クレームなど）を自由に使用できます。

PrivilegedUnwrap の KACLS 認証トークン

ユーザーの ID を証明するために ID パートナー（IdP）によって発行される署名なしトークン（JWT: RFC 7516）。

これは PrivilegedUnwrap でのみ使用されます。PrivilegedUnwrap で、IDP 認証トークンの代わりに KACLS JWT を使用する場合、受信者 KACLS はクレームを確認する前に、まずカード発行会社の JWKS を取得してからトークンの署名を検証する必要があります。

JSON 表現 
{
  "aud": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string
  ...
}
フィールド
aud

string

IdP によって識別されたオーディエンス。ドライブのクライアントサイド暗号化（CSE）PrivilegedUnwrap オペレーションの場合は、kacls-migration にする必要があります。
exp

string

有効期限。
iat

string

発行時間。
iss

string

トークン発行者。信頼できる認証発行元のセットと照らし合わせて検証する必要があります。リクエスト元の KACLS の KACLS_URL と一致する必要があります。発行者の公開鍵セットは /certs にあります。
kacls_url

string

データが復号される現在の KACL の URL。
resource_name

string

DEK によって暗号化されたオブジェクトの識別子。最大サイズ: 128 バイト。
...

鍵アクセス制御リストサービス（KACLS）では、境界の評価に他のクレーム（ロケーション、カスタム クレームなど）を自由に使用できます。