Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Klaim token Pengesahan Google Cloud

Dokumen ini menjelaskan klaim dalam token Pengesahan Google Cloud. Token tersebut adalah token pengesahan entitas (EAT), yang dienkode sebagai token web JSON (JWT). JWT dapat didekode menggunakan alat seperti https://jwt.io/.

Klaim ditentukan di endpoint well-known pengesahan Google Cloud.

Contoh token yang didekode

Klaim dalam token Pengesahan Google Cloud berbeda-beda, bergantung pada teknologi Confidential Computing yang digunakan dalam instance VM Rahasia Anda.

AMD SEV

Berikut adalah contoh token pengesahan AMD SEV yang didekode:

{
  "alg": "RS256",
  "kid": "6e66f1aededf736581df2599ee20387718978dcd",
  "typ": "JWT"
}.
{
  "aud": "AUDIENCE",
  "exp": 1715359550,
  "iat": 1715355950,
  "iss": "https://confidentialcomputing.googleapis.com",
  "nbf": 1698861565,
  "sub": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME",
  "eat_nonce": [
    "thisIsAcustomNonce",
    "thisIsAMuchLongerCustomNonceWithPaddingFor74Bytes0000000000000000000000000"
  ],
  "secboot": true,
  "oemid": 11129,
  "hwmodel": "GCP_AMD_SEV",
  "swname": "GCE",
  "eat_profile": "https://cloud.google.com/confidential-computing/confidential-vm/docs/token-claims",
  "submods": {
    "gce": {
      "zone": "ZONE",
      "project_id": "PROJECT_ID",
      "project_number": "PROJECT_NUMBER",
      "instance_name": "INSTANCE_NAME",
      "instance_id": "INSTANCE_ID"
    }
  },
  "google_service_accounts": [
    "470652426305-compute@developer.gserviceaccount.com"
  ]
}

Intel TDX

Berikut adalah contoh token pengesahan Intel TDX yang didekode:

{
  "alg": "RS256",
  "kid": "6e66f1aededf736581df2599ee20387718978dcd",
  "typ": "JWT"
}.
{
  "aud": "AUDIENCE",
  "exp": 1715359550,
  "iat": 1715355950,
  "iss": "https://confidentialcomputing.googleapis.com",
  "nbf": 1698861565,
  "sub": "//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/INSTANCE_ID",
  "eat_nonce": "thisIsAcustomNonce",
  "secboot": true,
  "oemid": 11129,
  "hwmodel": "GCP_INTEL_TDX",
  "swname": "GCE",
  "dbgstat": "disabled-since-boot",
  "eat_profile": "https://cloud.google.com/confidential-computing/confidential-vm/docs/token-claims",
  "submods": {
    "gce": {
      "zone": "ZONE",
      "project_number": "PROJECT_NUMBER",
      "instance_id": "INSTANCE_ID"
    }
  },
  "tdx": {
    "gcp_attester_tcb_date": "2026-06-01T00:00:00Z",
    "tcb_evaluation_data_number": 17,
    "fmspc": "00806F000000",
    "tee_tcb_svn": "06010300000000000000000000000000",
    "pcesvn": 11,
    "sgx_tcb_comp_svn": "08080202040100060000000000000000",
    "xfam": "e702060000000000",
    "tdattributes": "0000000000000000",
    "mrtd": "c68518a0ebb42136c12b2275164f8c72f25fa9a343922286a41b52bc7e4c2787e35b7782b132454191a27e366bc33e8a",
    "rtmr0": "a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1a1",
    "rtmr1": "b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2b2",
    "rtmr2": "c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3c3",
    "rtmr3": "000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000"
  },
  "google_service_accounts": [
    "470652426305-compute@developer.gserviceaccount.com"
  ]
}

Klaim token

Tabel berikut menjelaskan klaim tingkat tinggi dalam token Pengesahan Google Cloud. Klaim ini sesuai dengan spesifikasi OpenID Connect 1.0.

Nilai endpoint `well-known`	Deskripsi
`claims_supported`	Lihat Klaim tingkat teratas.
`id_token_signing_alg_values_supported`	Algoritma penandatanganan (nilai `alg`) yang didukung oleh token. Confidential VM mendukung algoritma `RS256`.
`issuer`	Skema HTTPS yang digunakan Confidential VM sebagai ID penerbitnya. Nilainya adalah `https://confidentialcomputing.googleapis.com`.
`jwks_uri`	Jalur ke kunci publik yang digunakan untuk memverifikasi tanda tangan token. Anda dapat memublikasikan kunci ini di bucket Cloud Storage. Anda dapat menemukan kunci `jwks_uri` di https://www.googleapis.com/service_accounts/v1/metadata/jwk/signer@confidentialspace-sign.iam.gserviceaccount.com. Contoh nilai adalah `https://example.storage.googleapis.com/jwks.json`.
`response_types_supported`	Daftar jenis respons Confidential VM yang didukung. Confidential VM mendukung `id_token`.
`scopes_supported`	Nilai cakupan OAuth 2.0 yang didukung instance Confidential VM. Confidential VM hanya mendukung `openid`.
`subject_types_supported`	Jenis ID subjek yang didukung Confidential VM. Confidential VM mendukung `public`.

Klaim tingkat atas

Tabel berikut menjelaskan klaim tingkat teratas yang didukung dalam token Pengesahan Google Cloud.

Klaim	Jenis	Deskripsi
`aud`	String	Audiens. Untuk token default yang digunakan dengan workload identity pool, audiensnya adalah `https://sts.googleapis.com`. Token ini diambil setiap jam oleh peluncur di instance Confidential VM. Untuk token dengan audiens kustom, audiens dikembalikan dari audiens dalam permintaan token. Panjang maksimum adalah 512 byte.
`dbgstat`	String	Status debug untuk hardware. Tidak tersedia untuk AMD SEV.
`eat_nonce`	String atau array string	Satu atau beberapa nonce untuk token pengesahan. Nilai dikembalikan dari opsi token yang dikirim dalam permintaan token kustom. Setiap nonce harus berada dalam rentang 10 hingga 74 byte inklusif. Maksimum enam nonce diizinkan.
`eat_profile`	String	URI profil Token Pengesahan Entitas (EAT) yang menentukan skema token. Nilainya adalah `https://cloud.google.com/confidential-computing/confidential-vm/docs/token-claims`.
`exp`	Int, stempel waktu Unix	Waktu habis masa berlaku pada atau setelah token tidak boleh diterima untuk pemrosesan. Nilai ini adalah angka JSON yang menunjukkan jumlah detik dari `1970-01-01T0:0:0Z` yang diukur dalam UTC hingga expiry time.
`google_service_accounts`	Array string	Akun layanan yang divalidasi yang menjalankan workload Confidential VM.
`hwmodel`	String	ID unik untuk token hardware. ID harus berupa salah satu nilai berikut: `GCP_AMD_SEV` `GCP_AMD_SEV_ES` `GCP_SHIELDED_VM` `GCP_INTEL_TDX`
`iat`	Int, stempel waktu Unix	Waktu saat JWT diterbitkan. Nilainya adalah angka JSON yang merepresentasikan jumlah detik dari `1970-01-01T0:0:0Z` yang diukur dalam UTC hingga waktu masalah.
`iss`	String	Penerbit token, yang ditetapkan ke `https://confidentialcomputing.googleapis.com`.
`nbf`	Int, stempel waktu Unix	Waktu setelah JWT diizinkan untuk diproses. Nilai ini adalah angka JSON yang menunjukkan jumlah detik dari `1970-01-01T0:0:0Z` yang diukur dalam UTC.
`oemid`	Uint64	Private Enterprise Number (PEN) Google, yaitu `11129`.
`secboot`	Boolean	Apakah Booting Aman diaktifkan, yang memastikan bahwa firmware dan sistem operasi diautentikasi selama proses booting VM.
`sub`	String	Subjek yang mengidentifikasi instance virtual machine: Untuk instance AMD SEV, ini adalah URL selfLink instance: `https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME`. Untuk instance Intel TDX, ini adalah Nama Resource Compute Engine yang berisi ID numerik yang tidak dapat diubah: `//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/INSTANCE_ID`.
`submods`	Array	Array berbagai klaim. Lihat Klaim submod.
`swname`	String	Nama sistem operasi yang disetujui untuk VM. Nilainya selalu `GCE`.
`tdx`	Objek	Objek yang berisi klaim untuk instance Intel TDX. Lihat Klaim Intel TDX.

Klaim Intel TDX

Tabel berikut menjelaskan klaim tdx dalam token Pengesahan Google Cloud untuk instance Intel TDX.

Klaim	Jenis	Deskripsi
`tcb_evaluation_data_number`	Uint32	Peningkatan monotonik Intel TCB Evaluation Data Number yang terkait dengan FMSPC platform dari Info TCB Intel.
`gcp_attester_tcb_date`	String	Stempel waktu (UTC) dasar evaluasi TCB Intel.
`mrtd`¹	String (hex)	Pengukuran konten Domain Tepercaya awal dan firmware virtual (OVMF).
`rtmr0`¹	String (hex)	Register pengukuran runtime 0 (konfigurasi firmware virtual dan parameter sistem).
`rtmr1`	String (hex)	Register pengukuran runtime 1 (pengukuran bootloader dan kernel OS tamu).
`rtmr2`	String (hex)	Pendaftaran pengukuran runtime 2 (command line kernel dan disk RAM awal (initramfs)).
`rtmr3`	String (hex)	Daftar pengukuran runtime 3 (ekstensi runtime pelanggan dan aplikasi).
`fmspc`	String (hex)	SKU Family-Model-Stepping 6 byte untuk pencarian Intel Provisioning Certification Service (PCS).
`tee_tcb_svn`	String (hex)	Array 16 byte dari nomor versi keamanan komponen TCB TDX saat Trust Domain diluncurkan.
`pcesvn`	Uint16	SVN Provisioning Certification Enclave (PCE).
`sgx_tcb_comp_svn`	String (hex)	Array 16 byte dari nomor versi keamanan komponen TCB Intel SGX.
`xfam`	String (hex)	Masker 8 byte dari fitur tambahan CPU yang diaktifkan.
`tdattributes`	String (hex)	Bitmap 8 byte dari atribut eksekusi TD.

¹ Jangan gunakan pengukuran ini dalam kebijakan akses. Perangkat ini terpengaruh oleh perubahan pada infrastruktur yang mendasarinya, seperti update firmware, yang dapat terjadi kapan saja. Pengukuran ini disediakan terutama untuk tujuan transparansi.

Klaim submod

Tabel berikut menjelaskan klaim submods dalam token Pengesahan Google Cloud.

Klaim	Jenis	Deskripsi
`gce`	Objek	Lihat klaim Compute Engine.

Klaim Compute Engine

Tabel berikut menjelaskan klaim gce dalam token Pengesahan Google Cloud.

Klaim	Jenis	Deskripsi
`instance_id`	String	ID instance VM.
`instance_name`	String	Nama instance VM.
`project_id`	String	project ID untuk project tempat VM berjalan.
`project_number`	String	Nomor project untuk project tempat VM berjalan.
`zone`	String	Zona Compute Engine tempat instance Confidential VM berjalan.

Langkah berikutnya

Lihat draf IETF untuk Token Pengesahan Entitas (EAT) untuk mengetahui informasi selengkapnya tentang klaim pengesahan.
Lihat OpenID Connect Core 1.0 untuk mengetahui informasi selengkapnya tentang klaim token OpenID.
Untuk mengetahui informasi selengkapnya tentang token dan cara mengambilnya, lihat Codelab Pengesahan vTPM.

Klaim token Pengesahan Google Cloud Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.