Tokens de autorização

Token de portador (JWT: RFC 7516) emitido pelo Google para verificar se o autor da chamada está autorizado a criptografar ou descriptografar um recurso.

Para evitar abusos, o serviço de lista de controle de acesso à chave (KACLS, na sigla em inglês) precisa verificar se o autor da chamada está autorizado a criptografar o objeto (arquivo ou documento) antes de encapsular a chave e descriptografar antes de desencapsular a DEK.

Token de autorização para a criptografia do lado do cliente (CSE) do Documentos e Drive, Agenda e Meet.

Representação JSON 
{
  "aud": string,
  "delegated_to": string,
  "email": string,
  "email_type": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string
}
Campos
aud

string

O público-alvo, conforme identificado pelo Google. Deve ser verificado na configuração local.
delegated_to

string

(Opcional) O endereço de e-mail do usuário autorizado a acessar o recurso.
email

string (UTF-8)

O endereço de e-mail do usuário.
email_type

string

Contém um dos seguintes valores:

  • google: este e-mail pertence a uma Conta do Google.
  • google-visitor: esse e-mail não pertence a uma Conta do Google, mas foi verificado pelo Google com um código PIN.
  • customer-idp: esse e-mail não pertence a uma Conta do Google, mas foi extraído usando um IdP configurado pelo cliente.
  • A declaração pode ser desmarcada. Nesse caso, o valor padrão é "google".
exp

string

Data de expiração.
iat

string

Horário de emissão.
iss

string

O emissor do token. Precisa ser validado com o conjunto confiável de emissores de autenticação.
kacls_url

string

O URL base do KACLS configurado, usado para evitar ataques person-in-the-middle (PITM).
perimeter_id

string (UTF-8)

(Opcional) Um valor vinculado ao local do documento que pode ser usado para escolher qual perímetro será verificado ao desencapsular. Tamanho máximo: 128 bytes.
resource_name

string (UTF-8)

Um identificador do objeto criptografado pela DEK. Tamanho máximo: 128 bytes.
role

string

Contém um dos seguintes valores:

Token de autorização para a CSE do Gmail

Representação JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "message_id": string,
  "iss": string,
  "kacls_url": string,
  "perimeter_id": string,
  "resource_name": string,
  "role": string,
  "spki_hash": string,
  "spki_hash_algorithm": string
}
Campos
aud

string

O público-alvo, conforme identificado pelo Google. Deve ser verificado na configuração local.
email

string (UTF-8)

O endereço de e-mail do usuário.
exp

string

Data de expiração.
iat

string

Horário de emissão.
message_id

string

Um identificador da mensagem em que a descriptografia ou assinatura é realizada. Usado como motivo do cliente para fins de auditoria.
iss

string

O emissor do token. Precisa ser validado com o conjunto confiável de emissores de autenticação.
kacls_url

string

O URL base do KACLS configurado, usado para evitar ataques person-in-the-middle (PITM).
perimeter_id

string (UTF-8)

(Opcional) Um valor vinculado ao local do documento que pode ser usado para escolher qual perímetro será verificado ao desencapsular. Tamanho máximo: 128 bytes.
resource_name

string (UTF-8)

Um identificador do objeto criptografado pela DEK. Tamanho máximo: 512 bytes.
role

string

Contém um dos seguintes valores:

  • decrypter: pode descriptografar.
  • signer: pode assinar.
spki_hash

string

Resumo padrão codificado em base64 do SubjectPublicKeyInfo codificado em DER da chave privada que está sendo acessada.
spki_hash_algorithm

string

Algoritmo usado para gerar spki_hash. Pode ser SHA-256.

Token de autorização para o serviço de migração do KACLS.

Representação JSON 
{
  "aud": string,
  "email": string,
  "exp": string,
  "iat": string,
  "iss": string,
  "kacls_url": string,
  "resource_name": string,
  "role": string
}
Campos
aud

string

O público-alvo, conforme identificado pelo Google. Deve ser verificado na configuração local.
email

string (UTF-8)

O endereço de e-mail do usuário.
exp

string

Data de expiração.
iat

string

Horário de emissão.
iss

string

O emissor do token. Precisa ser validado com o conjunto confiável de emissores de autenticação.
kacls_url

string

O URL base do KACLS configurado, usado para evitar ataques person-in-the-middle (PITM).
role

string

Contém um dos seguintes valores:

  • migrator: só pode chamar rewrap.
  • verifier: só pode chamar digest.