Token otorisasi

Token pembawa (JWT: RFC 7516) yang dikeluarkan oleh Google untuk memverifikasi bahwa pemanggil diizinkan untuk mengenkripsi atau mendekripsi resource.

Untuk mencegah penyalahgunaan, Layanan Daftar Kontrol Akses Kunci (KACLS) harus memverifikasi bahwa pemanggil diizinkan untuk mengenkripsi objek (file atau dokumen) sebelum mengenkripsi kunci dan mendekripsinya sebelum mendekripsi DEK.

Token otorisasi untuk enkripsi sisi klien (CSE) Dokumen & Drive, Kalender, dan Meet

Representasi JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
Kolom
aud

string

Audiens, sebagaimana diidentifikasi oleh Google. Harus diperiksa berdasarkan konfigurasi lokal.
delegated_to

string

(Opsional) Alamat email pengguna yang diberi otorisasi untuk mengakses resource.
email

string (UTF-8)

Alamat email pengguna.
email_type

string

Berisi salah satu nilai berikut:

  • google: Email ini adalah milik Akun Google.
  • google-visitor: Email ini bukan milik Akun Google, tetapi diverifikasi dengan kode PIN oleh Google.
  • customer-idp: Email ini bukan milik Akun Google, tetapi email pengguna diekstrak menggunakan IdP yang dikonfigurasi pelanggan.
  • Klaim dapat dibatalkan; dalam hal ini, nilai defaultnya adalah `google`.
exp

string

Waktu habis masa berlaku.
iat

string

Waktu penerbitan.
iss

string

Penerbit token. Harus divalidasi terhadap kumpulan penerbit autentikasi tepercaya.
kacls_url

string

URL dasar KACLS yang dikonfigurasi, digunakan untuk mencegah serangan person-in-the-middle (PITM).
perimeter_id

string (UTF-8)

(Opsional) Nilai yang terkait dengan lokasi dokumen yang dapat digunakan untuk memilih perimeter yang akan diperiksa saat membuka. Ukuran maksimum: 128 byte.
resource_name

string (UTF-8)

ID untuk objek yang dienkripsi oleh DEK. Ukuran maksimum: 128 byte.
role

string

Berisi salah satu nilai berikut:

  • reader: Diizinkan untuk memanggil unwrap saja.
  • writer: Diizinkan untuk memanggil wrap dan unwrap

Token otorisasi untuk CSE Gmail

Representasi JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
Kolom
aud

string

Audiens, sebagaimana diidentifikasi oleh Google. Harus diperiksa berdasarkan konfigurasi lokal.
email

string (UTF-8)

Alamat email pengguna.
exp

string

Waktu habis masa berlaku.
iat

string

Waktu penerbitan.
message_id

string

ID untuk pesan yang akan didekripsi atau ditandatangani. Digunakan sebagai alasan klien untuk tujuan audit.
iss

string

Penerbit token. Harus divalidasi terhadap kumpulan penerbit autentikasi tepercaya.
kacls_url

string

URL dasar KACLS yang dikonfigurasi, digunakan untuk mencegah serangan person-in-the-middle (PITM).
perimeter_id

string (UTF-8)

(Opsional) Nilai yang terkait dengan lokasi dokumen yang dapat digunakan untuk memilih perimeter yang diperiksa saat membuka. Ukuran maksimum: 128 byte.
resource_name

string (UTF-8)

ID untuk objek yang dienkripsi oleh DEK. Ukuran maksimum: 512 byte.
role

string

Berisi salah satu nilai berikut:

  • decrypter: Dapat mendekripsi.
  • signer: Dapat menandatangani.
spki_hash

string

Digest berenkode base64 standar dari SubjectPublicKeyInfo kunci pribadi yang diakses dan dienkode dengan DER.
spki_hash_algorithm

string

Algoritma yang digunakan untuk menghasilkan spki_hash. Dapat berupa SHA-256.

Token otorisasi untuk layanan migrasi KACLS

Representasi JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
Kolom
aud

string

Audiens, sebagaimana diidentifikasi oleh Google. Harus diperiksa berdasarkan konfigurasi lokal.
email

string (UTF-8)

Alamat email pengguna.
exp

string

Waktu habis masa berlaku.
iat

string

Waktu penerbitan.
iss

string

Penerbit token. Harus divalidasi terhadap kumpulan penerbit autentikasi tepercaya.
kacls_url

string

URL dasar KACLS yang dikonfigurasi, digunakan untuk mencegah serangan person-in-the-middle (PITM).
role

string

Berisi salah satu nilai berikut:

  • migrator: Diizinkan untuk memanggil rewrap saja.
  • verifier: Diizinkan untuk memanggil digest saja.