認可トークン

呼び出し元にリソースを暗号化または復号する権限があることを確認するために Google が発行する署名なしトークン（JWT: RFC 7516）。

不正使用を防ぐため、鍵アクセス制御リストサービス（KACLS）は、鍵をラップする前にオブジェクト（ファイルまたはドキュメント）を暗号化し、DEK をラップ解除する前に復号する権限が呼び出し元にあることを確認する必要があります。

ドキュメントとドライブ、カレンダー、Meet のクライアントサイド暗号化（CSE）の認証トークン

JSON 表現
{ "aud": string, "email": string, "email_type": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string }

フィールド
aud	string Google が特定したオーディエンス。ローカル構成と照らし合わせてチェックする必要があります。
email	string (UTF-8) ユーザーのメール アドレスです。
email_type	string 次のいずれかの値が含まれます。 google: このメールアドレスは Google アカウントのものです。 google-visitor: このメールアドレスは Google アカウントに属していませんが、Google によって PIN コードが確認されています。 customer-idp: このメールアドレスは Google アカウントに属していませんが、お客様が構成した IdP を使用してユーザーのメールアドレスが抽出されました。 クレームを設定解除できます。その場合、デフォルト値は「google」です。
exp	string 有効期限。
iat	string 発行日時。
iss	string トークン発行者。信頼できる認証発行元のセットに対して検証する必要があります。
kacls_url	string 中間者（PITM）攻撃の防止に使用される設定済みのベース KACLS URL。
perimeter_id	string (UTF-8) （省略可）ドキュメントの場所に関連付けられた値。これを使用して、ラップ解除時に確認する境界を選択できます。最大サイズ: 128 バイト。
resource_name	string (UTF-8) DEK によって暗号化されたオブジェクトの識別子。最大サイズ: 128 バイト。
role	string 次のいずれかの値が含まれます。 reader: unwrap の呼び出しのみが許可されます。 writer: wrap と unwrap の両方の呼び出しを許可する

Gmail CSE の認証トークン

JSON 表現
{ "aud": string, "email": string, "exp": string, "iat": string, "message_id": string, "iss": string, "kacls_url": string, "perimeter_id": string, "resource_name": string, "role": string, "spki_hash": string, "spki_hash_algorithm": string }

フィールド
aud	string Google が特定したオーディエンス。ローカル構成と照らし合わせてチェックする必要があります。
email	string (UTF-8) ユーザーのメール アドレスです。
exp	string 有効期限。
iat	string 発行日時。
message_id	string 復号または署名が行われるメッセージの識別子。監査目的でクライアントの理由として使用されます。
iss	string トークン発行者。信頼できる認証発行元のセットに対して検証する必要があります。
kacls_url	string 中間者（PITM）攻撃の防止に使用される設定済みのベース KACLS URL。
perimeter_id	string (UTF-8) （省略可）ドキュメントの場所に関連付けられた値。ラップ解除時にチェックする境界の選択に使用できます。最大サイズ: 128 バイト。
resource_name	string (UTF-8) DEK によって暗号化されたオブジェクトの識別子。最大サイズ: 512 バイト。
role	string 次のいずれかの値が含まれます。 decrypter: 復号できます。 signer: 署名できます。
spki_hash	string アクセス対象の秘密鍵の DER エンコードされた SubjectPublicKeyInfo を base64 でエンコードされた標準のダイジェスト。
spki_hash_algorithm	string spki_hash の生成に使用されるアルゴリズム。SHA-256 の場合があります。

KACLS 移行サービスの認証トークン

JSON 表現
{ "aud": string, "email": string, "exp": string, "iat": string, "iss": string, "kacls_url": string, "resource_name": string, "role": string }

フィールド
aud	string Google が特定したオーディエンス。ローカル構成と照らし合わせてチェックする必要があります。
email	string (UTF-8) ユーザーのメール アドレスです。
exp	string 有効期限。
iat	string 発行日時。
iss	string トークン発行者。信頼できる認証発行元のセットに対して検証する必要があります。
kacls_url	string 中間者（PITM）攻撃の防止に使用される設定済みのベース KACLS URL。
role	string 次のいずれかの値が含まれます。 migrator: rewrap の呼び出しのみが許可されます。 verifier: digest の呼び出しのみが許可されます。