الرموز المميزة للتفويض

رمز مميّز لحامل الإذن (JWT: RFC 7516) تصدره Google للتحقّق من أنّ مقدّم الطلب لديه الإذن بتشفير مورد أو فك تشفيره.

لمنع إساءة الاستخدام، يجب أن تتحقّق خدمة قائمة التحكّم بالوصول إلى مفاتيح التشفير (KACLS) من أنّ الجهة الطالبة لديها الإذن بتشفير العنصر (الملف أو المستند) قبل تغليف المفتاح، ومن فك تشفيره قبل فك تغليف مفتاح تشفير البيانات.

رمز التفويض لميزة "التشفير من جهة العميل" في "مستندات Google" وDrive و"تقويم Google" وMeet

تمثيل JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب التحقّق من ذلك مقارنةً بالإعدادات على الجهاز.
delegated_to

string

(اختياري) عنوان البريد الإلكتروني للمستخدم الذي تم تفويضه بالوصول إلى المورد.
email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدم
email_type

string

يحتوي على إحدى القيم التالية:

  • google: ينتمي هذا البريد الإلكتروني إلى حساب على Google.
  • google-visitor: لا ينتمي عنوان البريد الإلكتروني هذا إلى حساب على Google، ولكن تم إثبات ملكيته باستخدام رمز PIN من Google.
  • customer-idp: لا ينتمي عنوان البريد الإلكتروني هذا إلى حساب على Google، ولكن تم استخراج عنوان البريد الإلكتروني للمستخدم باستخدام موفِّر هوية (IdP) أعدّه العميل.
  • يمكن إلغاء ضبط المطالبة، وفي هذه الحالة تكون القيمة التلقائية هي `google`.
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
iss

string

تمثّل هذه السمة جهة إصدار الرمز المميّز. يجب التحقّق من صحة هذا المعرّف استنادًا إلى مجموعة موثوق بها من جهات إصدار المصادقة.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط (PITM).
perimeter_id

string (UTF-8)

(اختياري) قيمة مرتبطة بموقع المستند يمكن استخدامها لاختيار المحيط الذي سيتم التحقّق منه عند فك التشفير. الحد الأقصى للحجم: 128 بايت.
resource_name

string (UTF-8)

معرّف للعنصر المشفّر باستخدام مفتاح تشفير البيانات الحد الأقصى للحجم: 128 بايت.
role

string

يحتوي على إحدى القيم التالية:

  • reader: مسموح بالاتصال بالرقم unwrap فقط.
  • writer: مسموح له بالاتصال بكل من wrap وunwrap

رمز التفويض لميزة "التشفير من جهة العميل" في Gmail

تمثيل JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب التحقّق من ذلك مقارنةً بالإعدادات على الجهاز.
email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدم
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
message_id

string

معرّف للرسالة التي يتم تنفيذ عملية فك التشفير أو التوقيع عليها. يُستخدَم كسبب للعميل لأغراض التدقيق.
iss

string

تمثّل هذه السمة جهة إصدار الرمز المميّز. يجب التحقّق من صحة هذا المعرّف استنادًا إلى مجموعة موثوق بها من جهات إصدار المصادقة.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط (PITM).
perimeter_id

string (UTF-8)

(اختياري) قيمة مرتبطة بموقع المستند يمكن استخدامها لاختيار المحيط الذي يتم التحقّق منه عند فك التشفير. الحد الأقصى للحجم: 128 بايت.
resource_name

string (UTF-8)

معرّف للعنصر المشفّر باستخدام مفتاح تشفير البيانات الحد الأقصى للحجم: 512 بايت
role

string

يحتوي على إحدى القيم التالية:

  • ‫decrypter: يمكن فك التشفير.
  • ‫signer: يمكنه التوقيع.
spki_hash

string

الملخّص العادي بترميز base64 لـ SubjectPublicKeyInfo المفتاح الخاص الذي يتم الوصول إليه، والذي تم ترميزه باستخدام DER.
spki_hash_algorithm

string

الخوارزمية المستخدَمة لإنتاج spki_hash يمكن أن تكون SHA-256.

رمز التفويض لخدمة نقل KACLS

تمثيل JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
الحقول
aud

string

الجمهور، كما حدّدته Google يجب التحقّق من ذلك مقارنةً بالإعدادات على الجهاز.
email

string (UTF-8)

عنوان البريد الإلكتروني للمستخدم
exp

string

وقت انتهاء الصلاحية
iat

string

وقت الإصدار
iss

string

تمثّل هذه السمة جهة إصدار الرمز المميّز. يجب التحقّق من صحة هذا المعرّف استنادًا إلى مجموعة موثوق بها من جهات إصدار المصادقة.
kacls_url

string

عنوان URL الأساسي الذي تم ضبطه لخدمة KACLS، ويُستخدم لمنع هجمات الوسيط (PITM).
role

string

يحتوي على إحدى القيم التالية:

  • migrator: مسموح بالاتصال بالرقم rewrap فقط.
  • verifier: مسموح بالاتصال بالرقم digest فقط.