אסימוני הרשאה

אסימון למוכ"ז (JWT: RFC 7516) ש-Google הונפקה כדי לאמת שהמתקשר מורשה להצפין משאב או לפענח אותו.

כדי למנוע ניצול לרעה, על שירות רשימת בקרת הגישה למפתחות (KACLS) לאמת שהמתקשר מורשה להצפין את האובייקט (קובץ או מסמך) לפני אריזה של המפתח ולפענוח שלו לפני פתיחת ה-DEK.

אסימון הרשאה ל-Docs ול-Drive, להצפנה מצד הלקוח ביומן Google ול-Meet (CSE)

ייצוג JSON 
{
  "aud": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
שדות
aud

string

הקהל, כפי ש-Google זיהתה. יש לבדוק אותו מול ההגדרות המקומיות.
email

string (UTF-8)

זוהי כתובת האימייל של המשתמש.
email_type

string

מכיל אחד מהערכים הבאים:

  • google: כתובת האימייל הזו שייכת לחשבון Google.
  • google-visitor: כתובת האימייל הזו לא שייכת לחשבון Google, אבל Google אימתה את קוד האימות.
  • customer-idp: כתובת האימייל הזו לא שייכת לחשבון Google, אבל כתובת האימייל של המשתמש נשלפה באמצעות IdP שהוגדר על ידי הלקוח.
  • אפשר לבטל את ההגדרה של ההצהרה. במקרה כזה, ערך ברירת המחדל הוא 'google'.
exp

string

מועד תפוגה.
iat

string

זמן ההנפקה.
iss

string

מנפיק האסימון. צריך לאמת מול הקבוצה המהימנה של מנפיקי האימות.
kacls_url

string

כתובת ה-URL הבסיסית של KACLS, המשמשת למניעת התקפות אדם בתווך (PITM).
perimeter_id

string (UTF-8)

(אופציונלי) ערך הקשור למיקום המסמך וניתן להשתמש בו כדי לבחור את ההיקף שייבדק במהלך פתיחת האריזה. גודל מקסימלי: 128 בייטים.
resource_name

string (UTF-8)

מזהה של האובייקט שהוצפן על ידי ה-DEK. גודל מקסימלי: 128 בייטים.
role

string

מכיל אחד מהערכים הבאים:

  • reader: מורשית להתקשר אל unwrap בלבד.
  • writer: מורשה להתקשר גם ל-wrap וגם ל-unwrap

אסימון הרשאה ל-CSE של Gmail

ייצוג JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
שדות
aud

string

הקהל, כפי ש-Google זיהתה. יש לבדוק אותו מול ההגדרות המקומיות.
email

string (UTF-8)

זוהי כתובת האימייל של המשתמש.
exp

string

מועד תפוגה.
iat

string

זמן ההנפקה.
message_id

string

מזהה להודעה שבה מתבצע הפענוח או החתימה. משמש כסיבת לקוח למטרות ביקורת.
iss

string

מנפיק האסימון. צריך לאמת מול הקבוצה המהימנה של מנפיקי האימות.
kacls_url

string

כתובת ה-URL הבסיסית של KACLS, המשמשת למניעת התקפות אדם בתווך (PITM).
perimeter_id

string (UTF-8)

(אופציונלי) ערך הקשור למיקום המסמך, וניתן להשתמש בו כדי לבחור את ההיקף שייבדק במהלך פתיחת האריזה. גודל מקסימלי: 128 בייטים.
resource_name

string (UTF-8)

מזהה של האובייקט שהוצפן על ידי ה-DEK. גודל מקסימלי: 512 בייטים.
role

string

מכיל אחד מהערכים הבאים:

  • decrypter: ניתן לפענח.
  • signer: ניתן לחתום.
spki_hash

string

תקציר סטנדרטי בקידוד base64 של SubjectPublicKeyInfo בקידוד DER של המפתח הפרטי שאליו מתבצעת גישה.
spki_hash_algorithm

string

האלגוריתם שמשמש ליצירת spki_hash. יכול להיות SHA-256.

אסימון הרשאה לשירות העברת KACLS

ייצוג JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
שדות
aud

string

הקהל, כפי ש-Google זיהתה. יש לבדוק אותו מול ההגדרות המקומיות.
email

string (UTF-8)

זוהי כתובת האימייל של המשתמש.
exp

string

מועד תפוגה.
iat

string

זמן ההנפקה.
iss

string

מנפיק האסימון. צריך לאמת מול הקבוצה המהימנה של מנפיקי האימות.
kacls_url

string

כתובת ה-URL הבסיסית של KACLS, המשמשת למניעת התקפות אדם בתווך (PITM).
role

string

מכיל אחד מהערכים הבאים:

  • migrator: מורשית להתקשר אל rewrap בלבד.
  • verifier: מורשית להתקשר אל digest בלבד.