الرموز المميزة للتفويض

رمز حامل (JWT: RFC 7516) الذي تصدره Google للتحقّق من أنّ المُتصل مفوَّض بتشفير موارد أو فك تشفيرها

لمنع إساءة الاستخدام، يجب أن تتحقّق خدمة قائمة التحكّم بالوصول إلى مفاتيح التشفير (KACLS) من أنّه يملك المُتصل الإذن بتشفير العنصر (الملف أو المستند) قبل التفاف المفتاح وفك تشفيره قبل إزالة التفاف مفتاح التشفير العمودي (DEK).

رمز التفويض لميزة "التشفير من جهة العميل" في "مستندات Google" وDrive و"تقويم Google" وMeet

تمثيل JSON
{ "aud": string, "email": string, "email_type": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string }

الحقول
aud	string شريحة الجمهور، كما حدّدتها Google يجب التحقّق من الإعدادات المحلية.
email	string (UTF-8) عنوان البريد الإلكتروني للمستخدِم
email_type	string يحتوي على إحدى القيم التالية: google: هذا البريد الإلكتروني ينتمي إلى حساب على Google. google-visitor: لا يخصّ عنوان البريد الإلكتروني هذا حسابًا على Google، ولكن تم إثبات ملكيته من خلال رقم التعريف الشخصي من Google. customer-idp: لا ينتمي عنوان البريد الإلكتروني هذا إلى حساب على Google، ولكن تم استخراج عنوان البريد الإلكتروني للمستخدم باستخدام موفِّر هوية أعدّه العميل. يمكن عدم ضبط المطالبة، وفي هذه الحالة تكون القيمة التلقائية هي google.
exp	string وقت انتهاء الصلاحية
iat	string وقت الإصدار
iss	string جهة إصدار الرمز المميّز يجب التحقّق من صحتها وفقًا للمجموعة الموثوق بها من جهات إصدار المصادقة.
kacls_url	string عنوان URL الأساسي لبروتوكول KACLS الذي تم ضبطه، والذي يُستخدَم لمنع هجمات "الشخص في المنتصف" (PITM).
perimeter_id	string (UTF-8) (اختياري) قيمة مرتبطة بموقع المستند يمكن استخدامها لاختيار المحيط الذي سيتم التحقّق منه عند إزالة التغليف الحد الأقصى للحجم: 128 بايت
resource_name	string (UTF-8) معرّف للعنصر المشفَّر باستخدام مفتاح الجلسة الحد الأقصى للحجم: 128 بايت
role	string يحتوي على إحدى القيم التالية: reader: يُسمح بالاتصال برقم unwrap فقط. writer: مسموح له بالاتصال بكل من wrap وunwrap

رمز التفويض لميزة "التشفير من جهة العميل" في Gmail

تمثيل JSON
{ "aud": string, "email": string, "exp": string, "iat": string, "message_id": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string, "spki_hash": string, "spki_hash_algorithm": string }

الحقول
aud	string شريحة الجمهور، كما حدّدتها Google يجب التحقّق من الإعدادات المحلية.
email	string (UTF-8) عنوان البريد الإلكتروني للمستخدم
exp	string وقت انتهاء الصلاحية
iat	string وقت الإصدار
message_id	string معرّف للرسالة التي يتم فيها تنفيذ عملية فك التشفير أو التوقيع يُستخدَم كسبب للعميل لأغراض التدقيق.
iss	string جهة إصدار الرمز المميّز يجب التحقّق من صحتها وفقًا للمجموعة الموثوق بها من جهات إصدار المصادقة.
kacls_url	string عنوان URL الأساسي لبروتوكول KACLS الذي تم ضبطه، والذي يُستخدَم لمنع هجمات "الشخص في المنتصف" (PITM).
perimeter_id	string (UTF-8) (اختياري) قيمة مرتبطة بموقع المستند يمكن استخدامها لاختيار المحيط الذي يتم التحقّق منه عند إزالة التغليف الحد الأقصى للحجم: 128 بايت
resource_name	string (UTF-8) معرّف للعنصر المشفَّر باستخدام مفتاح الجلسة الحد الأقصى للحجم: 512 بايت
role	string يحتوي على إحدى القيم التالية: decrypter: يمكن فك التشفير. signer: يمكن التوقيع.
spki_hash	string خلاصة عادية بترميز base64 لـ SubjectPublicKeyInfo بترميز DER للمفتاح الخاص الذي يتم الوصول إليه
spki_hash_algorithm	string الخوارزمية المستخدَمة لإنشاء spki_hash يمكن أن يكون SHA-256.

رمز التفويض لخدمة نقل شهادات KACLS

تمثيل JSON
{ "aud": string, "email": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "resource_name": string, "role": string }

الحقول
aud	string شريحة الجمهور، كما حدّدتها Google يجب التحقّق من الإعدادات المحلية.
email	string (UTF-8) عنوان البريد الإلكتروني للمستخدم
exp	string وقت انتهاء الصلاحية
iat	string وقت الإصدار
iss	string جهة إصدار الرمز المميّز يجب التحقّق من صحتها وفقًا للمجموعة الموثوق بها من جهات إصدار المصادقة.
kacls_url	string عنوان URL الأساسي لبروتوكول KACLS الذي تم ضبطه، والذي يُستخدَم لمنع هجمات الشخص في المنتصف (PITM).
role	string يحتوي على إحدى القيم التالية: migrator: يُسمح بالاتصال برقم rewrap فقط. verifier: يُسمح بالاتصال برقم digest فقط.