Token di autorizzazione

Token di autorizzazione (JWT: RFC 7519) emesso da Google per verificare che il chiamante sia autorizzato a criptare o decriptare una risorsa.

Per prevenire abusi, il servizio Key Access Control List Service (KACLS) deve verificare che il chiamante sia autorizzato a criptare l'oggetto (file o documento) prima di eseguire il wrapping della chiave e a decriptarlo prima di eseguire l'unwrapping della DEK.

Token di autorizzazione per la crittografia lato client di Google Docs e Google Drive, Google Calendar e Google Meet

Rappresentazione JSON
{ "aud": string, "delegated_to": string, "email": string, "email_type": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string }

Campi
aud	string Il pubblico, come identificato da Google. Deve essere verificato rispetto la configurazione locale.
delegated_to	string (Facoltativo) L'indirizzo email dell'utente autorizzato ad accedere alla risorsa.
email	string (UTF-8) L'indirizzo email dell'utente.
email_type	string Contiene uno dei seguenti valori: google: questa email appartiene a un Account Google. google-visitor: questa email non appartiene a un Account Google, ma è stata verificata da Google tramite codice PIN. customer-idp: questa email non appartiene a un Account Google, ma l'email dell'utente è stata estratta utilizzando un IdP configurato dal cliente. L'attestazione può essere non impostata; in questo caso, il valore predefinito è `google`.
exp	string Ora scadenza.
iat	string Ora di rilascio.
iss	string L'emittente del token. Deve essere convalidato rispetto all'insieme attendibile di emittenti di autenticazione.
kacls_url	string L'URL di base di KACLS configurato, utilizzato per prevenire attacchi man-in-the-middle (MITM).
perimeter_id	string (UTF-8) (Facoltativo) Un valore collegato alla posizione del documento che può essere utilizzato per scegliere il perimetro da controllare durante l'unwrapping. Dimensione massima: 128 byte.
resource_name	string (UTF-8) Un identificatore per l'oggetto criptato dalla DEK. Dimensione massima: 128 byte.
role	string Contiene uno dei seguenti valori: reader: può chiamare solo unwrap. writer: può chiamare sia wrap che unwrap.

Token di autorizzazione per la crittografia lato client di Gmail

Rappresentazione JSON
{ "aud": string, "email": string, "exp": string, "iat": string, "message_id": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string, "spki_hash": string, "spki_hash_algorithm": string }

Campi
aud	string Il pubblico, come identificato da Google. Deve essere verificato rispetto la configurazione locale.
email	string (UTF-8) L'indirizzo email dell'utente.
exp	string Ora scadenza.
iat	string Ora di rilascio.
message_id	string Un identificatore per il messaggio su cui viene eseguita la decriptazione o la firma viene eseguita. Utilizzato come motivo del cliente a fini di audit.
iss	string L'emittente del token. Deve essere convalidato rispetto all'insieme attendibile di emittenti di autenticazione.
kacls_url	string L'URL di base di KACLS configurato, utilizzato per prevenire attacchi man-in-the-middle (MITM).
perimeter_id	string (UTF-8) (Facoltativo) Un valore collegato alla posizione del documento che può essere utilizzato per scegliere il perimetro da controllare durante l'unwrapping. Dimensione massima: 128 byte.
resource_name	string (UTF-8) Un identificatore per l'oggetto criptato dalla DEK. Dimensione massima: 512 byte.
role	string Contiene uno dei seguenti valori: decrypter: può decriptare. signer: può firmare.
spki_hash	string Digest con codifica Base64 standard di con codifica DER SubjectPublicKeyInfo della chiave privata a cui si accede.
spki_hash_algorithm	string Algoritmo utilizzato per generare spki_hash. Può essere SHA-256.

Token di autorizzazione per il servizio di migrazione KACLS

Rappresentazione JSON
{ "aud": string, "email": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "resource_name": string, "role": string }

Campi
aud	string Il pubblico, come identificato da Google. Deve essere verificato rispetto la configurazione locale.
email	string (UTF-8) L'indirizzo email dell'utente.
exp	string Ora scadenza.
iat	string Ora di rilascio.
iss	string L'emittente del token. Deve essere convalidato rispetto all'insieme attendibile di emittenti di autenticazione.
kacls_url	string L'URL di base di KACLS configurato, utilizzato per prevenire attacchi man-in-the-middle (MITM).
role	string Contiene uno dei seguenti valori: migrator: può chiamare solo rewrap. verifier: può chiamare solo digest.