Kimlik doğrulama jetonları
Koleksiyonlar ile düzeninizi koruyun
İçeriği tercihlerinize göre kaydedin ve kategorilere ayırın.
Kullanıcının kimliğini onaylamak için kimlik iş ortağı (IdP) tarafından verilen taşıyıcı jeton (JWT: RFC 7516).
| JSON gösterimi |
{
"aud": string,
"email": string,
"exp": string,
"iat": string,
"iss": string,
"google_email": string,
...
}
|
| Alanlar |
aud |
string
IdP tarafından tanımlanan kitle. Yerel yapılandırmaya göre kontrol edilmelidir.
|
email |
string (UTF-8)
Kullanıcının e-posta adresi.
|
exp |
string
Geçerlilik sonu.
|
iat |
string
Verilme zamanı.
|
iss |
string
Jetonu veren kuruluş. Kimlik doğrulama verenlerin güvenilir grubuyla doğrulanmalıdır.
|
google_email |
string
Bu JWT'deki e-posta talebi, kullanıcının Google Workspace e-posta kimliğinden farklı olduğunda kullanılacak isteğe bağlı bir talep. Bu talep, kullanıcının Google Workspace e-posta kimliğini taşır.
|
... |
Anahtar Erişim Kontrol Listesi Hizmetiniz (KACLS), sınırı değerlendirmek için diğer talepleri (konum, özel talep vb.) ücretsiz olarak kullanabilir.
|
delegate için KACLS kimlik doğrulama jetonu
Kimlik doğrulama jetonu, taşıyıcı kimlik doğrulama jetonu olan bir JSON Web Jetonu (JWT) (JWT: RFC 7516) içerir.
Bazen kullanıcılar doğrudan bir istemcide kimlik doğrulaması yapamaz.
Bu durumlarda kullanıcı, belirli bir kaynağa erişimini istemciye yetkilendirebilir. Bu, orijinal kimlik doğrulama jetonunun kapsamını sınırlayan yeni bir yetkilendirilmiş kimlik doğrulama jetonu verilerek sağlanır.
Temsilci kimlik doğrulama jetonu, normal kimlik doğrulama jetonuna benzer ancak bir ek talep içerir:
| iddia |
delegated_to |
string
Kimlik doğrulama yetkisinin devredileceği tüzel kişinin tanımlayıcısı.
|
Kimlik doğrulama jetonundaki resource_name talebi, bir yetki verme bağlamında, yetki vermenin geçerli olduğu veri şifreleme anahtarı (DEK) ile şifrelenen nesneyi tanımlamak için kullanılır.
Jeton, Delegate çağrısı kullanılarak Anahtar Erişim Kontrol Listesi Hizmeti (KACLS) tarafından verilir. KACLS'nin doğrulayabildiği kendinden imzalı JWT'ler olabilir veya KACLS, güvenilir bir çağrı aracılığıyla bunu yapmak için başka bir IdP kullanabilir.
Yetkilendirilmiş kimlik doğrulama jetonunun geçerli sayılması için aynı işlem için yetkilendirilmiş bir yetki jetonu sağlanmalıdır. Yetki verilmiş yetkilendirme jetonu, normal yetkilendirme jetonuna benzer ancak ek delegated_to talebini içerir. delegated_to ve resource_name taleplerinin değerleri, yetkilendirilmiş kimlik doğrulama jetonundaki değerlerle eşleşmelidir.
Sızma durumunda olası yeniden kullanımı önlemek için, temsilci kimlik doğrulama jetonlarının kullanım ömrünü 15 dakika olarak ayarlamanızı öneririz.
| JSON gösterimi |
{
"email": string,
"iss": string,
"aud": string,
"exp": string,
"iat": string,
"google_email": string,
"delegated_to": string,
"resource_name": string
...
}
|
| Alanlar |
email |
string (UTF-8)
Kullanıcının UTF-8 biçimli e-posta adresi.
|
iss |
string
Jetonu veren kuruluş, güvenilir kimlik doğrulama kuruluşları kümesine göre doğrulanmalıdır.
|
aud |
string
IdP tarafından tanımlanan kitle. Yerel yapılandırmaya göre kontrol edilmelidir.
|
exp |
string
Geçerlilik süresi kontrol edilmelidir.
|
iat |
string
Düzenlenme zamanı kontrol edilmelidir.
|
delegated_to |
string
Kimlik doğrulama yetkisinin devredileceği tüzel kişinin tanımlayıcısı.
|
resource_name |
string
DEK ile şifrelenmiş ve temsilcinin geçerli olduğu nesnenin tanımlayıcısı.
|
... |
KACLS, sınırı değerlendirmek için diğer talepleri (konum, özel talep vb.) ücretsiz olarak kullanabilir.
|
PrivilegedUnwrap için KACLS kimlik doğrulama jetonu
Kullanıcının kimliğini onaylamak için kimlik iş ortağı (IdP) tarafından verilen taşıyıcı jeton (JWT: RFC 7516).
Bu yalnızca PrivilegedUnwrap üzerinde kullanılır. PrivilegedUnwrap sırasında, IdP kimlik doğrulama jetonu yerine KACLS JWT'si kullanılıyorsa alıcı KACLS'nin önce veren tarafın JWKS'sini getirmesi, ardından talepleri kontrol etmeden önce jeton imzasını doğrulaması gerekir.
| JSON gösterimi |
{
"aud": string,
"exp": string,
"iat": string,
"iss": string,
"kacls_url": string,
"resource_name": string
...
}
|
| Alanlar |
aud |
string
IdP tarafından tanımlanan kitle. Drive istemci tarafı şifreleme (İTŞ) PrivilegedUnwrap işlemleri için bu değer kacls-migration olmalıdır.
|
exp |
string
Geçerlilik sonu.
|
iat |
string
Verilme zamanı.
|
iss |
string
Jetonu veren kuruluş. Kimlik doğrulama verenlerin güvenilir grubuyla doğrulanmalıdır. İstek gönderen KACLS'nin KACLS_URL ile eşleşmelidir. Düzenleyenin ortak anahtar kümesini /certs adresinde bulabilirsiniz.
|
kacls_url |
string
Verilerin şifresinin çözüldüğü mevcut KACLS'nin URL'si.
|
resource_name |
string
DEK ile şifrelenmiş nesnenin tanımlayıcısı. Maksimum boyut: 128 bayt.
|
... |
Anahtar Erişim Kontrol Listesi Hizmetiniz (KACLS), sınırı değerlendirmek için diğer talepleri (konum, özel talep vb.) ücretsiz olarak kullanabilir.
|
Aksi belirtilmediği sürece bu sayfanın içeriği Creative Commons Atıf 4.0 Lisansı altında ve kod örnekleri Apache 2.0 Lisansı altında lisanslanmıştır. Ayrıntılı bilgi için Google Developers Site Politikaları'na göz atın. Java, Oracle ve/veya satış ortaklarının tescilli ticari markasıdır.
Son güncelleme tarihi: 2025-08-04 UTC.
[null,null,["Son güncelleme tarihi: 2025-08-04 UTC."],[[["\u003cp\u003eKACLS uses bearer tokens (JWTs) issued by an identity provider (IdP) to verify user identity and authorize access.\u003c/p\u003e\n"],["\u003cp\u003eJWTs contain essential claims like audience, email, expiration, issuance, issuer, and potentially a Google Workspace email for specific scenarios.\u003c/p\u003e\n"],["\u003cp\u003eFor \u003ccode\u003ePrivilegedUnwrap\u003c/code\u003e operations, a KACLS JWT is used, requiring the recipient KACLS to verify the token signature and claims after fetching the issuer's JWKS.\u003c/p\u003e\n"],["\u003cp\u003eKACLS JWTs include specific claims like \u003ccode\u003ekacls_url\u003c/code\u003e and \u003ccode\u003eresource_name\u003c/code\u003e relevant to the decryption process.\u003c/p\u003e\n"],["\u003cp\u003eKACLS offers flexibility by allowing the use of additional claims for perimeter evaluation and custom authorization logic.\u003c/p\u003e\n"]]],["The document outlines two types of Bearer tokens (JWTs) used for user identity and KACLS authentication. User identity tokens, issued by the IdP, include fields like `aud`, `email`, `exp`, `iat`, `iss`, and `google_email` for email verification. KACLS authentication tokens, used during `PrivilegedUnwrap`, contain `aud` (specifically `kacls-migration`), `exp`, `iat`, `iss`, `kacls_url`, and `resource_name`. KACLS must verify the KACLS JWT's signature and claims after fetching the issuer's JWKS. Both types allow for custom claims.\n"],null,["# Authentication tokens\n\nBearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\nissued by the identity partner (IdP) to attest a user's identity.\n\n| JSON representation ||\n|----------------------------------------------------------------------------------------------------------------------|---|\n| ``` { \"aud\": string, \"email\": string, \"exp\": string, \"iat\": string, \"iss\": string, \"google_email\": string, ... } ``` |\n\n| Fields ||\n|----------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|\n| `aud` | `string` The audience, as identified by the IdP. Should be checked against the local configuration. |\n| `email` | `string (UTF-8)` The user's email address. |\n| `exp` | `string` Expiration time. |\n| `iat` | `string` Issuance time. |\n| `iss` | `string` The token issuer. Should be validated against the trusted set of authentication issuers. |\n| `google_email` | `string` An optional claim, to be used when the email claim in this JWT is different from the user's Google Workspace email ID. This claim carries the user's Google Workspace email identity. |\n| `...` | Your Key Access Control List Service (KACLS) is free to use any other claims (location, custom claim, etc) to evaluate the perimeter. |\n\nKACLS authentication token for `delegate`\n-----------------------------------------\n\nThe authentication token contains a JSON Web Token (JWT) ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\nthat is a bearer authentication token.\n\nSometimes a user is not able to authenticate on a client directly.\nIn these cases the user can delegate their access to a specific\nresource to that client. This is achieved through issuing a new\ndelegated authentication token that limits the scope of the original\nauthentication token.\n\nThe delegated authentication token is similar to the ordinary\nauthentication token with one additional claim:\n\n| claim ||\n|----------------|----------------------------------------------------------------------|\n| `delegated_to` | `string` An identifier for the entity to delegate authentication to. |\n\nThe `resource_name` claim in the authentication token is, in a\ndelegation context, used for identifying the object encrypted by the\nData Encryption Key (DEK) for which the delegation is valid.\n\nThe token is issued by the Key Access Control List Service (KACLS)\nusing the `Delegate` call. It may be either self-signed JWTs\nthat KACLS is able to validate, or KACLS may use any other IdP to do\nthat, through a trusted call.\n\nIn order for the delegated authentication token to be considered valid, a\ndelegated authorization token must be provided for the same operation. The\ndelegated authorization token is similar to the ordinary authorization token,\nbut contains the additional claim `delegated_to`. The values of the\n`delegated_to` and `resource_name` claims must match the values in the\ndelegated authentication token.\n\nWe recommend that you set a lifetime value of 15 minutes for the delegated\nauthentication tokens to avoid potential reuse in case of leakage.\n\n| JSON representation ||\n|----------------------------------------------------------------------------------------------------------------------------------------------------------------------|---|\n| ``` { \"email\": string, \"iss\": string, \"aud\": string, \"exp\": string, \"iat\": string, \"google_email\": string, \"delegated_to\": string, \"resource_name\": string ... } ``` |\n\n| Fields ||\n|-----------------|-------------------------------------------------------------------------------------------------------|\n| `email` | `string (UTF-8)` The user's UTF-8 formatted email address. |\n| `iss` | `string` The token issuer, should be validated against the trusted set of authentication issuers. |\n| `aud` | `string` The audience, as identified by the IdP. Should be checked against the local configuration. |\n| `exp` | `string` Expiration time, should be checked. |\n| `iat` | `string` Issuance time, should be checked. |\n| `delegated_to` | `string` An identifier for the entity to delegate authentication to. |\n| `resource_name` | `string` An identifier for the object encrypted by the DEK, for which the delegation is valid. |\n| `...` | The KACLS is free to use any other claims (location, custom claim, etc...) to evaluate the perimeter. |\n\nKACLS authentication token for `PrivilegedUnwrap`\n-------------------------------------------------\n\nBearer token ([JWT: RFC 7516](https://tools.ietf.org/html/rfc7516))\nissued by the identity partner (IdP) to attest a user's identity.\n\nThis is only used on `PrivilegedUnwrap`. During `PrivilegedUnwrap`, if a KACLS\nJWT is used in place of an IDP authentication token, the recipient KACLS must\nfirst fetch the JWKS of the issuer, then verify the token signature, before\nchecking the claims.\n\n| JSON representation ||\n|--------------------------------------------------------------------------------------------------------------------------|---|\n| ``` { \"aud\": string, \"exp\": string, \"iat\": string, \"iss\": string, \"kacls_url\": string, \"resource_name\": string ... } ``` |\n\n| Fields ||\n|-----------------|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|\n| `aud` | `string` The audience, as identified by the IdP. For Drive client-side encryption (CSE) `PrivilegedUnwrap` operations, this should be `kacls-migration`. |\n| `exp` | `string` Expiration time. |\n| `iat` | `string` Issuance time. |\n| `iss` | `string` The token issuer. Should be validated against the trusted set of authentication issuers. Must match the `KACLS_URL` of the requesting KACLS. The public key set of the issuer can be found at /certs. |\n| `kacls_url` | `string` URL of current KACLS, that the data is being decrypted on. |\n| `resource_name` | `string` An identifier for the object encrypted by the DEK. Maximum size: 128 bytes. |\n| `...` | Your Key Access Control List Service (KACLS) is free to use any other claims (location, custom claim, etc) to evaluate the perimeter. |"]]
