Configurer votre service

Votre service de liste de contrôle d'accès aux clés (KACLS) est configuré sans l'intervention de Google. Vous trouverez ci-dessous des informations sur les paramètres courants et les bonnes pratiques pour configurer votre service.

Paramètres opérationnels

• L'API ne doit être disponible que via HTTPS avec TLS 1.2 ou version ultérieure et un certificat X.509 valide.

• Le serveur d'API doit gérer CORS pour accéder au point de terminaison autorisé de Google : https://client-side-encryption.google.com.

• Nous recommandons une latence maximale de 200 ms pour 99% des requêtes.

Paramètres du fournisseur d'autorisation

Utilisez les paramètres ci-dessous pour valider les jetons d'autorisation émis par Google lors du chiffrement côté client (CSE) :

Contexte de l'application Google Workspace	URL du point de terminaison JWKS	Émetteur du jeton d'autorisation	Audience du jeton d'autorisation
Google Drive et outils de création collaborative de contenus, tels que Docs et Sheets	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization
CSE Meet	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization
CSE Agenda	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization
CSE Gmail	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization
Migration KACLS	https://www.googleapis.com/service_accounts/v1/jwk/[e-mail]	[e-mail]	cse-authorization

Paramètres du fournisseur d'identité

Les paramètres ci-dessous sont requis pour chaque fournisseur d'identité (IdP) non Google avec lequel votre service fonctionne :

• Méthode de validation des jetons. Les jetons sont généralement validés par l'URL d'un fichier JSON Web Key Set (JWKS), mais il peut également s'agir des clés publiques elles-mêmes.
• Valeurs de l'émetteur et de l'audience : valeurs des champs iss (émetteur) et aud (audience) utilisées par chaque fournisseur d'identité.

Paramètres de périmètre

Le concept de périmètre dans le chiffrement côté client (CSE) de Google Workspace permet de contrôler les accès aux clés de chiffrement à l'aide du KACLS. Les périmètres sont des vérifications supplémentaires facultatives effectuées sur les jetons d'authentification et d'autorisation dans le KACLS.

Les périmètres peuvent être utilisés pour :

• autoriser uniquement les utilisateurs des domaines de la liste d'autorisation à déchiffrer les clés ;
• bloquer les utilisateurs, tels que les administrateurs Google Workspace ;
• fournir des restrictions avancées. Exemple :
  • Restrictions temporelles pour les employés de garde ou en congé
  • Restrictions de géolocalisation pour empêcher l'accès à partir de lieux ou de réseaux spécifiques
  • Accès basé sur le rôle ou le type d'utilisateur, tel qu'il est affirmé par un fournisseur d'identité

Remarque : Le périmètre de récupération est utilisé lorsqu'un client Google Workspace envoie une requête Google Takeout avec privilegedunwrap. Le périmètre de récupération permet le déchiffrement KACLS, en contournant la LCA Google Workspace normale. L'appartenance doit donc être limitée aux personnes de confiance. Nous vous recommandons d'utiliser un fournisseur d'identité nécessitant l'authentification à deux facteurs (A2F) pour le périmètre de récupération.

Vérifier la configuration de votre KACLS

Pour vérifier si votre KACLS est actif et correctement configuré, envoyez une status requête. Vous pouvez également effectuer des auto-vérifications internes, telles que l'accessibilité KMS ou l'état du système de journalisation.