API S/MIME của Gmail cung cấp quyền truy cập có lập trình để quản lý các chứng chỉ email S/MIME cho người dùng trong miền Google Workspace .
Quản trị viên phải bật S/MIME cho miền để các chứng chỉ hoạt động.
Tiêu chuẩn S/MIME cung cấp quy cách cho việc mã hoá bằng khoá công khai và ký dữ liệu MIME. Việc định cấu hình chứng chỉ S/MIME trong tài khoản của người dùng sẽ khiến Gmail sử dụng chứng chỉ đó theo các cách sau:
- Gmail sử dụng chứng chỉ và khoá riêng tư của người dùng để ký thư gửi đi.
- Gmail sử dụng khoá riêng tư của người dùng để giải mã thư đến.
- Gmail sử dụng chứng chỉ và khoá công khai của người nhận để mã hoá thư gửi đi.
- Gmail sử dụng chứng chỉ của người gửi và khoá công khai để xác minh thư đến.
Bạn tạo từng chứng chỉ S/MIME và tải các chứng chỉ đó lên bằng API. Mỗi chứng chỉ S/MIME dành cho một email đại diện cụ thể của một tài khoản email người dùng. Bí danh bao gồm địa chỉ email chính cũng như địa chỉ "Gửi dưới dạng" tuỳ chỉnh. Một chứng chỉ S/MIME được đánh dấu là mặc định cho mỗi bí danh.
Đang cấp quyền truy cập API
Có hai hình thức uỷ quyền truy cập vào API:
- Bạn có thể sử dụng tài khoản dịch vụ với tính năng uỷ quyền trên toàn miền. Để biết nội dung giải thích về các thuật ngữ này, hãy tham khảo bài viết Điều khoản tổng quan về xác thực và uỷ quyền. Để biết thông tin về cách bật tuỳ chọn này, hãy tham khảo phần Tạo tài khoản dịch vụ bằng cách uỷ quyền trên toàn miền
- Bạn có thể sử dụng một quy trình OAuth2 tiêu chuẩn cần có sự đồng ý của người dùng cuối để lấy mã truy cập Oauth2. Để biết thêm thông tin, hãy tham khảo phần Tổng quan về xác thực và uỷ quyền Để sử dụng tuỳ chọn này, quản trị viên miền phải bật hộp đánh dấu "Đã bật quyền truy cập của người dùng cuối API S/MIME" trong Bảng điều khiển miền.
Phạm vi ACL
API này dựa vào cùng một phạm vi ACL như các phương thức SendAs của Gmail:
- gmail.settings.basic
- Bạn phải sử dụng phạm vi này để cập nhật Phần mở rộng thư Internet an toàn/đa mục đích (S/MIME) chính của SendA.
- gmail.settings.sharing
- Bạn bắt buộc phải sử dụng phạm vi này để cập nhật từ S/MIME tuỳ chỉnh.
Sử dụng API
Tài nguyên users.settings.sendAs.smimeInfo cung cấp các phương thức mà bạn dùng để quản lý chứng chỉ S/MIME. Mỗi chứng chỉ được liên kết với một bí danh gửi dưới dạng cho người dùng.
Tải khoá S/MIME lên
Sử dụng phương thức smimeInfo.insert() để tải khoá S/MIME mới lên cho một bí danh thuộc về người dùng. Bạn xác định bí danh mục tiêu bằng các tham số sau:
- userId
- Địa chỉ email của người dùng. Bạn có thể sử dụng giá trị đặc biệt
me
để cho biết người dùng đang được xác thực. - sendAsEmail
- Email đại diện mà bạn đang tải khoá lên. Đây là địa chỉ email xuất hiện trong tiêu đề "Từ:" cho thư được gửi bằng bí danh này.
Chứng chỉ S/MIME và khoá riêng tư phải hiển thị trong trường pkcs12
ở định dạng đó; không được đặt trường nào khác trong yêu cầu. Trường PKCS12 dự kiến sẽ chứa cả khoá S/MIME của người dùng và chuỗi chứng chỉ ký. API sẽ thực hiện các quy trình xác thực tiêu chuẩn trên trường này trước khi chấp nhận, xác minh những thông tin sau:
- Tiêu đề khớp với địa chỉ email đã chỉ định.
- Các ngày hết hạn hợp lệ.
- Tổ chức phát hành chứng chỉ (CA) nằm trong danh sách đáng tin cậy của chúng tôi.
- Chứng chỉ phù hợp với giới hạn kỹ thuật của Gmail.
Nếu khoá được mã hoá thì mật khẩu phải nằm trong trường encryptedKeyPassword
. Các lệnh gọi insert() thành công sẽ trả về mã nhận dạng của smimeInfo có thể dùng để tham chiếu đến khoá trong tương lai.
Liệt kê khoá S/MIME của người dùng
Sử dụng phương thức smimeInfo.list() để trả về danh sách khoá S/MIME cho người dùng đã cho đối với bí danh đã cho. Bạn xác định bí danh mục tiêu bằng các tham số sau:
- userId
- Địa chỉ email của người dùng. Bạn có thể sử dụng giá trị đặc biệt
me
để cho biết người dùng đang được xác thực. - sendAsEmail
- Tên đại diện liệt kê các khoá. Đây là địa chỉ email xuất hiện trong tiêu đề "Từ:" cho thư được gửi bằng bí danh này.
Truy xuất khoá S/MIME cho email đại diện
Sử dụng phương thức smimeInfo.get() để trả về các khoá S/MIME cụ thể cho một email đại diện cụ thể để gửi cho người dùng. Bạn xác định bí danh mục tiêu bằng các tham số sau:
- userId
- Địa chỉ email của người dùng. Bạn có thể sử dụng giá trị đặc biệt
me
để cho biết người dùng đang được xác thực. - sendAsEmail
- Bí danh mà bạn đang truy xuất các khoá. Đây là địa chỉ email xuất hiện trong tiêu đề "Từ:" cho thư được gửi bằng bí danh này.
Xoá khoá S/MIME
Sử dụng phương thức smimeInfo.delete() để xoá khoá S/MIME đã chỉ định khỏi một bí danh. Bạn xác định bí danh mục tiêu bằng các tham số sau:
- userId
- Địa chỉ email của người dùng. Bạn có thể sử dụng giá trị đặc biệt
me
để cho biết người dùng đang được xác thực. - sendAsEmail
- Bí danh mà bạn đang truy xuất các khoá. Đây là địa chỉ email xuất hiện trong tiêu đề "Từ:" của thư được gửi bằng bí danh này.
- id
- Mã nhận dạng bất biến của SmimeInfo.
Đặt khoá S/MIME mặc định cho email đại diện
Sử dụng phương thức smimeInfo.setDefault() để đánh dấu khoá S/MIME đã chỉ định làm khoá mặc định cho bí danh đã chỉ định. Bạn xác định bí danh mục tiêu bằng các tham số sau:
- userId
- Địa chỉ email của người dùng. Bạn có thể sử dụng giá trị đặc biệt
me
để cho biết người dùng đang được xác thực. - sendAsEmail
- Bí danh mà bạn đang truy xuất các khoá. Đây là địa chỉ email xuất hiện trong tiêu đề "Từ:" của thư được gửi bằng bí danh này.
- id
- Mã nhận dạng bất biến của SmimeInfo.
Mã mẫu
Các mã mẫu sau đây minh hoạ cách sử dụng API để quản lý chứng chỉ S/MIME cho tổ chức có nhiều người dùng.
Tạo tài nguyên SmimeInfo cho chứng chỉ S/MIME
Mã mẫu sau đây minh hoạ cách đọc một chứng chỉ từ tệp, mã hoá thành một chuỗi base64url và gán chứng chỉ đó cho trường pkcs12
của tài nguyên smimeInfo
:
Java
Python
Đang tải chứng chỉ S/MIME lên
Để tải một chứng chỉ lên, hãy gọi
smimeInfo.insert
và cung cấp tài nguyên smimeInfo
trong phần nội dung của yêu cầu:
Java
Python
Ví dụ về việc quản lý nhiều chứng chỉ của người dùng
Bạn có thể muốn quản lý chứng chỉ cho nhiều người dùng trong tổ chức cùng một lúc. Các ví dụ sau đây cho thấy cách quản lý chứng chỉ cho nhiều người dùng trong một lệnh gọi hàng loạt.
Chèn chứng chỉ từ tệp CSV
Giả sử bạn có tệp CSV liệt kê mã nhận dạng người dùng và đường dẫn đến chứng chỉ của từng người dùng:
$ cat certificates.csv
user1@example.com,/path/to/user1_cert.p12,cert_password_1
user2@example.com,/path/to/user2_cert.p12,cert_password_2
user3@example.com,/path/to/user3_cert.p12,cert_password_3
Java
Bạn có thể sử dụng các lệnh gọi createSmimeInfo
và insertSmimeInfo
từ trước để tải các chứng chỉ lên như được chỉ định trong tệp CSV:
Python
Bạn có thể sử dụng các lệnh gọi create_smime_info
và insert_smime_info
từ trước để tải các chứng chỉ lên như được chỉ định trong tệp CSV:
Quản lý chứng chỉ
Ví dụ này kết hợp một số lệnh gọi từ API smimeInfo
để cho biết cách bạn có thể quản lý các chứng chỉ cho tổ chức của mình. Trình phân tích cú pháp liệt kê các chứng chỉ cho người dùng và nếu chứng chỉ mặc định đã hết hạn hoặc chưa được đặt, thì chứng chỉ này sẽ tải lên chứng chỉ có trong tệp đã chỉ định. Sau đó, phương thức này sẽ đặt chứng chỉ có thời hạn xa nhất trong tương lai làm mặc định.
Sau đó, hàm này sẽ được gọi từ một hàm xử lý tệp CSV như trong ví dụ trước.