Руководство по интеграции Google Workspace Shared Signals Framework (SSF) Закрытая бета-версия

Shared Signals Framework (SSF) — это поддерживаемая сообществом инициатива OpenID Foundation, направленная на разработку и поддержку коммуникационной платформы для платформ безопасности, позволяющей обмениваться аналитическими данными посредством стандартизированных событий и протоколов. Для поддержки инициативы SSF Google Workspace внедряет SSF Receiver для приема сигналов профиля непрерывной оценки доступа (CAEP) .

Наш первый релиз, доступный сейчас в стадии закрытого бета-тестирования, поддерживает сигнал события отзыва сеанса. Со временем мы планируем разработать поддержку множества сигналов CAEP, передаваемых различными платформами безопасности.

Если вы являетесь поставщиком платформы безопасности, заинтересованным в передаче сигналов CAEP в Google Workspace, или клиентом Google Workspace, заинтересованным в тестировании интеграции общих сигналов в своем домене, выразите свою заинтересованность, заполнив форму регистрации тестировщика SSF .

Обратите внимание: пока мы находимся на этапе закрытого бета-тестирования, мы планируем постепенно подключать партнёров и клиентов. Заполнение формы не гарантирует участия в закрытом бета-тестировании.

Событие отмены сеанса CAEP

Изначально Google Workspace поддерживает событие отзыва сеанса CAEP (Continuous Access Evaluation Protocol) . Это позволяет другим сервисам уведомлять Google Workspace об отзыве сеанса пользователя.

Ниже приведен пример события отзыва сеанса CAEP:

{
  "aud": "https://sharedsignals.googleapis.com",
  "events": {
    "https://schemas.openid.net/secevent/caep/event-type/session-revoked": {
      "event_timestamp": 1750212646,
      "subject": {
        "email": "user@domain.com",
        "format": "email"
      }
    }
  },
  "iat": 1750212646,
  "iss": "<issuer_id>",
  "jti": "YzBhOTBhMWEtNWVhOS00ZDkxLWFlYTgtMjE1YjliMjQ4YTVh",
  "sub_id": {
    "email": "user@domain.com",
    "format": "email"
  }
}

Поля в предыдущем примере JSON определены следующим образом:

  • aud : Аудитория. Значение должно быть https://sharedsignals.googleapis.com .
  • events : Карта событий.
    • https://schemas.openid.net/secevent/caep/event-type/session-revoked : Событие CAEP.
      • event_timestamp : временная метка события.
      • subject : Пользователь, к которому относится событие.
        • email : адрес электронной почты пользователя.
        • format : Формат темы, в данном случае — email .
  • iat : Выдано в. Временная метка события.
  • iss : Издатель. Идентификатор службы, отправившей событие.
  • jti : JWT ID. Уникальный идентификатор события.
  • sub_id : Идентификатор субъекта. Пользователь, к которому относится событие.
    • email : адрес электронной почты пользователя.
    • format : Формат темы, в данном случае — email .

Примеры использования события отзыва сеанса

Вот некоторые примеры использования, когда передатчик может отправить событие отзыва сеанса приемнику Google:

  1. Отключение учетной записи партнерами IDP: когда поставщик удостоверений (IDP) отключает учетную запись пользователя.
  2. Приостановка действия учетной записи партнерами IDP: когда IDP приостанавливает действие учетной записи пользователя.
  3. Событие риска пользователя от партнеров IDP и EDR: когда партнер IDP или Endpoint Detection and Response (EDR) обнаруживает риск, связанный с пользователем.
  4. Изменение учетных данных в IDP: когда учетные данные пользователя изменяются в IDP.

Во всех этих сценариях событие на стороне передатчика может инициировать событие отзыва сеанса на приемнике Google, помогая удостовериться, что сеансы конечного пользователя в Google Workspace завершены, что повышает безопасность учетной записи.