Dienst konfigurieren

Ihr Key Access Control List Service (KACLS) wird ohne Beteiligung von Google konfiguriert. Im Folgenden finden Sie Details zu häufigen Einstellungen und Best Practices für die Konfiguration Ihres Dienstes.

Betriebseinstellungen

• Die API sollte nur über HTTPS mit TLS 1.2 oder höher und einem gültigen X.509-Zertifikat verfügbar sein.

• Der API-Server sollte CORS verarbeiten, um auf den autorisierten Endpunkt von Google zuzugreifen: https://client-side-encryption.google.com.

• Wir empfehlen eine maximale Latenz von 200 ms für 99% der Anfragen.

Einstellungen für den Autorisierungsanbieter

Verwenden Sie die folgenden Einstellungen, um die von Google ausgestellten Autorisierungstokens während der clientseitigen Verschlüsselung (CSE) zu validieren:

Google Workspace-Anwendungskontext	JWKS-Endpunkt-URL	Aussteller des Autorisierungstokens	Zielgruppe des Autorisierungstokens
Google Drive und Tools für die gemeinsame Erstellung von Inhalten, wie Google Docs und Google Sheets	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization
Meet CSE	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization
Google Kalender CSE	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization
Gmail CSE	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization
KACLS-Migration	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization

Einstellungen für Identitätsanbieter

Die folgenden Einstellungen sind für jeden Nicht-Google-Identitätsanbieter (IdP) erforderlich, mit dem Ihr Dienst zusammenarbeitet:

• Methode zum Validieren von Tokens Tokens werden in der Regel über die URL zu einer JWKS-Datei (JSON Web Key Set) validiert. Es können aber auch die öffentlichen Schlüssel selbst verwendet werden.
• Aussteller- und Zielgruppenwerte:Die Feldwerte iss (Aussteller) und aud (Zielgruppe), die von den einzelnen Identitätsanbietern verwendet werden.

Perimetereinstellungen

Das Perimeterkonzept in der clientseitigen Verschlüsselung (CSE) von Google Workspace wird verwendet, um die Zugriffssteuerung für die Verschlüsselungsschlüssel mithilfe des KACLS bereitzustellen. Die Perimeter sind optionale zusätzliche Prüfungen, die für die Authentifizierungs- und Autorisierungstokens im KACLS durchgeführt werden.

Perimeter können für Folgendes verwendet werden:

• Nur Nutzern in Domains auf der Zulassungsliste erlauben, Schlüssel zu entschlüsseln.
• Nutzer auf die Sperrliste setzen, z. B. Google Workspace-Administratoren.
• Erweiterte Einschränkungen festlegen. Beispiel:
  • Zeitbasierte Einschränkungen für Mitarbeiter im Bereitschaftsdienst oder im Urlaub
  • Einschränkungen für die Standortbestimmung, um den Zugriff von bestimmten Standorten oder Netzwerken aus zu verhindern
  • Zugriff basierend auf Nutzerrolle oder ‑typ, wie vom Identitätsanbieter bestätigt

Hinweis: Der Perimeter für den Datenexport wird verwendet, wenn ein Google Workspace-Kunde eine Google Datenexport-Anfrage mit privilegedunwrap sendet. Der Perimeter für den Datenexport ermöglicht das Entschlüsseln mit KACLS und umgeht die normale Google Workspace-ACL. Die Mitgliedschaft sollte daher auf vertrauenswürdige Personen beschränkt sein. Wir empfehlen, für den Perimeter für den Datenexport einen IdP zu verwenden, der die 2‑Faktor-Authentifizierung (2FA) erfordert.

KACLS-Konfiguration überprüfen

Wenn Sie prüfen möchten, ob Ihr KACLS aktiv und richtig konfiguriert ist, senden Sie eine status-Anfrage. Es können auch interne Selbsttests durchgeführt werden, z. B. zur KMS-Verfügbarkeit oder zur Systemdiagnose des Protokollierungssystems.