授权令牌

Google 签发的不记名令牌 (JWT: RFC 7516)，用于验证调用者是否有权加密或解密资源。

为了防止滥用，密钥访问控制列表服务 (KACLS) 应验证调用方是否有权在封装密钥之前加密对象（文件或文档），并在解封 DEK 之前对其进行解密。

适用于文档和云端硬盘、日历和 Meet 的客户端加密功能 (CSE) 的授权令牌

JSON 表示法
{ "aud": string, "email": string, "email_type": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string }

字段
aud	string 受众群体，由 Google 确定。应根据本地配置进行检查。
email	string (UTF-8) 用户的电子邮件地址。
email_type	string 包含以下某个值： google：此电子邮件地址属于 Google 帐号。 google-visitor：此电子邮件地址不属于 Google 账号，但已经过 Google 的 PIN 码验证。 customer-idp：此电子邮件不属于 Google 账号，但用户的电子邮件地址是使用客户配置的 IdP 提取的。 可以取消声明声明；在这种情况下，默认值为“google”。
exp	string 到期时间。
iat	string 签发时间。
iss	string 令牌颁发者。应根据可信的身份验证颁发者集进行验证。
kacls_url	string 已配置的基本 KACLS 网址，用于防范中间人 (PITM) 攻击。
perimeter_id	string (UTF-8) （可选）与文档位置关联的值，可用于选择在解封装时要检查哪个边界。大小上限：128 个字节。
resource_name	string (UTF-8) 由 DEK 加密的对象的标识符。大小上限：128 个字节。
role	string 包含以下某个值： reader：只能调用 unwrap。 writer：可以调用 wrap 和 unwrap

Gmail CSE 的授权令牌

JSON 表示法
{ "aud": string, "email": string, "exp": string, "iat": string, "message_id": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string, "spki_hash": string, "spki_hash_algorithm": string }

字段
aud	string 受众群体，由 Google 确定。应根据本地配置进行检查。
email	string (UTF-8) 用户的电子邮件地址。
exp	string 到期时间。
iat	string 签发时间。
message_id	string 对其执行解密或签名的消息的标识符。用作客户原因以进行审核。
iss	string 令牌颁发者。应根据可信的身份验证颁发者集进行验证。
kacls_url	string 已配置的基本 KACLS 网址，用于防范中间人 (PITM) 攻击。
perimeter_id	string (UTF-8) （可选）与文档位置关联的值，可用于选择在解封装时检查哪个边界。大小上限：128 个字节。
resource_name	string (UTF-8) 由 DEK 加密的对象的标识符。大小上限：512 个字节。
role	string 包含以下某个值： decrypter：可以解密。 signer：可以签名。
spki_hash	string 要访问的私钥的 DER 编码的 SubjectPublicKeyInfo 的标准 Base64 编码摘要。
spki_hash_algorithm	string 用于生成 spki_hash 的算法。例如：SHA-256。

KACLS 迁移服务的授权令牌

JSON 表示法
{ "aud": string, "email": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "resource_name": string, "role": string }

字段
aud	string 受众群体，由 Google 确定。应根据本地配置进行检查。
email	string (UTF-8) 用户的电子邮件地址。
exp	string 到期时间。
iat	string 签发时间。
iss	string 令牌颁发者。应根据可信的身份验证颁发者集进行验证。
kacls_url	string 已配置的基本 KACLS 网址，用于防范中间人 (PITM) 攻击。
role	string 包含以下某个值： migrator：只能调用 rewrap。 verifier：只能调用 digest。