क्लाइंट-साइड एन्क्रिप्शन के लिए, अपने आइडेंटिटी प्रोवाइडर से कनेक्ट करना

आईडीपी कनेक्शन की मदद से, Google Workspace के उन सभी वेब ऐप्लिकेशन के लिए सीएसई (क्लाइंट-साइड एन्क्रिप्शन) सेट अप किया जा सकता है जिनमें यह सुविधा काम करती है:

• Google Drive
• Google Docs
• Google Sheets
• Google Slides
• Gmail
• Google Calendar
• Google Meet (ऑडियो, वीडियो, और चैट मैसेज)

ldP कनेक्शन की मदद से, डेस्कटॉप और मोबाइल पर इस्तेमाल किए जाने वाले इन ऐप्लिकेशन के लिए भी सीएसई सेट अप किया जा सकता है:

• Drive for desktop
• Android और iOS पर Drive
• Android और iOS पर Calendar
• Android और iOS पर Gmail
• Android और iOS पर Meet का इस्तेमाल करना

इन यूटिलिटी टूल को भी सेट अप किया जा सकता है:

• CSE डिक्रिप्टर

सीएसई के साथ एन्क्रिप्शन कुंजी मैनेज करने वाली सेवा का इस्तेमाल करने के लिए, आपको ऐसे आइडेंटिटी प्रोवाइडर (आईडीपी) की ज़रूरत होगी जो OpenID Connect (ओआईडीसी) स्टैंडर्ड के साथ काम करता हो. अगर Google Workspace के साथ पहले से किसी ओआईडीसी आईडीपी (OIDC IdP) का इस्तेमाल नहीं किया जा रहा है, तो कुंजी मैनेज करने वाली सेवा के साथ इस्तेमाल करने के लिए, आईडीपी (IdP) को दो तरीकों से सेट अप किया जा सकता है:

**पहला विकल्प: तीसरे पक्ष के IdP का इस्तेमाल करना (सुझाया गया)**

अगर आपके सुरक्षा मॉडल के लिए, एन्क्रिप्ट किए गए डेटा को Google से ज़्यादा अलग रखना ज़रूरी है, तो तीसरे पक्ष के ओआईडीसी आईडीपी का इस्तेमाल करें.

अगर एसएएमएल पर आधारित सिंगल-साइन-ऑन (एसएसओ) के लिए, पहले से ही किसी तीसरे पक्ष के आईडीपी का इस्तेमाल किया जा रहा है: हमारा सुझाव है कि सीएसई के लिए भी उसी आईडीपी का इस्तेमाल करें जिसका इस्तेमाल Google Workspace की सेवाओं को ऐक्सेस करने के लिए किया जाता है. हालांकि, ऐसा तब ही किया जा सकता है, जब वह आईडीपी ओआईडीसी के साथ काम करता हो. Google Workspace के साथ SAML पर आधारित एसएसओ का इस्तेमाल करने के बारे में ज़्यादा जानें.

**दूसरा विकल्प: Google खाते का इस्तेमाल करना**

अगर आपके सुरक्षा मॉडल के तहत, Google से एन्क्रिप्ट (सुरक्षित) किए गए डेटा को अलग रखने की ज़रूरत नहीं है, तो अपने आईडीपी के तौर पर Google की डिफ़ॉल्ट पहचान का इस्तेमाल किया जा सकता है.

अगर सीएसई के लिए तीसरे पक्ष के आईडीपी का इस्तेमाल किया जाता है, तो हमारा सुझाव है कि आप अपने उपयोगकर्ताओं के ब्राउज़र में, आईडीपी से मिली तीसरे पक्ष की कुकी को अनुमति दें. ऐसा न करने पर, उपयोगकर्ताओं को सीएसई का इस्तेमाल करते समय, आईडीपी में बार-बार साइन-इन करना पड़ सकता है.

• अगर आपका संगठन Chrome Enterprise का इस्तेमाल करता है, तो: CookiesAllowedForUrls नीति का इस्तेमाल किया जा सकता है.
• अन्य ब्राउज़र के लिए: तीसरे पक्ष की कुकी को अनुमति देने के तरीके के बारे में जानने के लिए, ब्राउज़र के सहायता कॉन्टेंट को देखें.

अपने आईडीपी को सेट अप किया जा सकता है. इसके लिए, किसी तीसरे पक्ष के आईडीपी या Google आइडेंटिटी का इस्तेमाल किया जा सकता है. इसके लिए, .well-known फ़ाइल का इस्तेमाल किया जा सकता है. इसे आपको अपने संगठन की वेबसाइट पर होस्ट करना होगा. इसके अलावा, Admin console का इस्तेमाल भी किया जा सकता है. यह आपका आईडीपी फ़ॉलबैक है. हर तरीके के लिए कई बातों का ध्यान रखना होता है. इनके बारे में यहां दी गई टेबल में बताया गया है.

ध्यान दें: अगर आपको मेहमान आईडीपी को कॉन्फ़िगर करना है, तो आपको Admin console का इस्तेमाल करना होगा.

आपको क्लाइंट आईडी बनाना होगा. साथ ही, Google Workspace के साथ काम करने वाले वेब ऐप्लिकेशन के लिए, रीडायरेक्ट यूआरआई जोड़ने होंगे. जिन ऐप्लिकेशन के साथ यह सुविधा काम करती है उनकी सूची देखने के लिए, इस पेज पर ऊपर दिए गए वेब, डेस्कटॉप, और मोबाइल ऐप्लिकेशन के साथ काम करने वाली सुविधा पर जाएं.

वेब ऐप्लिकेशन के लिए क्लाइंट आईडी बनाने का तरीका इस बात पर निर्भर करता है कि तीसरे पक्ष के आईडीपी का इस्तेमाल किया जा रहा है या Google आइडेंटिटी का.

अगर आपको मेहमान के लिए आईडीपी कॉन्फ़िगर करना है, तो: आपको Google Meet का ऐक्सेस पाने के लिए एक अतिरिक्त क्लाइंट आईडी बनाना होगा. इसका इस्तेमाल यह पुष्टि करने के लिए किया जाता है कि मेहमान को मीटिंग में न्योता भेजा गया था. ज़्यादा जानकारी के लिए, मेहमान के लिए आईडीपी कॉन्फ़िगर करना पर जाएं.

**सीएसई के लिए, तीसरे पक्ष के आईडीपी का इस्तेमाल करने पर**

अपने आईडीपी की एडमिन कंसोल का इस्तेमाल करके, क्लाइंट आईडी बनाएं. आपको अपने IdP के Admin console में, रीडायरेक्ट करने के लिए यहां दिए गए यूआरआई भी जोड़ने होंगे:

वेब सेवाएं:

• https://client-side-encryption.google.com/callback
• https://client-side-encryption.google.com/oidc/cse/callback
• https://client-side-encryption.google.com/oidc/drive/callback
• https://client-side-encryption.google.com/oidc/gmail/callback
• https://client-side-encryption.google.com/oidc/meet/callback
• https://client-side-encryption.google.com/oidc/calendar/callback
• https://client-side-encryption.google.com/oidc/docs/callback
• https://client-side-encryption.google.com/oidc/sheets/callback
• https://client-side-encryption.google.com/oidc/slides/callback

Drive for desktop:

http://localhost

Android और iOS मोबाइल ऐप्लिकेशन:

• https://client-side-encryption.google.com/oidc/gmail/native/callback
• https://client-side-encryption.google.com/oidc/meet/native/callback
• https://client-side-encryption.google.com/oidc/calendar/native/callback
• https://client-side-encryption.google.com/oidc/drive/native/callback
• https://client-side-encryption.google.com/oidc/gmail/meet/native/callback

**अगर सीएसई के लिए Google आइडेंटिटी का इस्तेमाल किया जा रहा है**

आपको Google Cloud Console में एक क्लाइंट आईडी बनाना होगा. इसे .well-known/cse-configuration फ़ाइल या Admin console में जोड़ा जाएगा. आपको JavaScript ऑरिजिन (इसे क्रॉस-ऑरिजिन रिसॉर्स शेयरिंग या सीओआरएस भी कहा जाता है) सेट अप करने होंगे. साथ ही, रीडायरेक्ट यूआरआई जोड़ने होंगे.

1. console.cloud.google.com पर जाएं.
2. नया Google Cloud प्रोजेक्ट बनाएं. निर्देश पाएं.

   प्रोजेक्ट को अपनी पसंद के हिसाब से सेट अप करें. इसका इस्तेमाल सिर्फ़ क्रेडेंशियल सेव करने के लिए किया जाता है.

3. कंसोल में, मेन्यू एपीआई और सेवाएंक्रेडेंशियल पर जाएं.
4. सीएसई के साथ इस्तेमाल किए जाने वाले नए वेब ऐप्लिकेशन के लिए, OAuth क्लाइंट आईडी बनाएं. पूरे निर्देश पाएं.
5. नीचे दिए गए JavaScript ऑरिजिन अपडेट करें:
   • https://admin.google.com
   • https://client-side-encryption.google.com
6. अनुमति वाले रीडायरेक्ट यूआरआई को यहां दिए गए यूआरआई से अपडेट करें.

   वेब सेवाएं:

   • https://client-side-encryption.google.com/callback
   • https://client-side-encryption.google.com/oidc/cse/callback
   • https://client-side-encryption.google.com/oidc/drive/callback
   • https://client-side-encryption.google.com/oidc/gmail/callback
   • https://client-side-encryption.google.com/oidc/meet/callback
   • https://client-side-encryption.google.com/oidc/calendar/callback
   • https://client-side-encryption.google.com/oidc/docs/callback
   • https://client-side-encryption.google.com/oidc/sheets/callback
   • https://client-side-encryption.google.com/oidc/slides/callback

   Drive for desktop:

   http://localhost

   Android और iOS मोबाइल ऐप्लिकेशन:

   Android और iOS मोबाइल ऐप्लिकेशन के लिए, किसी अन्य कॉन्फ़िगरेशन की ज़रूरत नहीं होती.

OAuth क्लाइंट आईडी बनाया जाता है. इस आईडी को सेव करें, ताकि इसे .well-known/cse-configuration फ़ाइल या Admin console में जोड़ा जा सके.

अगर आपको अपने उपयोगकर्ताओं को डेस्कटॉप और मोबाइल ऐप्लिकेशन के साथ सीएसई का इस्तेमाल करने की अनुमति देनी है, तो आपको उन ऐप्लिकेशन के लिए क्लाइंट आईडी की ज़रूरत होगी. आपको उन्हें .well-known/cse-configuration फ़ाइल या Admin console में जोड़ना होगा. आपको कुंजी मैनेज करने वाली सेवा के कॉन्फ़िगरेशन में क्लाइंट आईडी भी जोड़ने पड़ सकते हैं. इसके लिए, कुंजी मैनेज करने वाली सेवा का दस्तावेज़ देखें.

हर मोबाइल ऐप्लिकेशन के लिए, आपको हर प्लैटफ़ॉर्म (Android और iOS) के लिए एक क्लाइंट आईडी की ज़रूरत होगी. जिन ऐप्लिकेशन के साथ यह सुविधा काम करती है उनकी सूची देखने के लिए, इस पेज पर ऊपर दिए गए वेब, डेस्कटॉप, और मोबाइल ऐप्लिकेशन के साथ काम करने वाली सुविधा पर जाएं.

आपको डेस्कटॉप और मोबाइल ऐप्लिकेशन के लिए क्लाइंट आईडी कैसे मिलते हैं, यह इस बात पर निर्भर करता है कि तीसरे पक्ष के आईडीपी का इस्तेमाल किया जा रहा है या Google आइडेंटिटी का.

ध्यान दें: इन क्लाइंट आईडी के लिए, पीकेसीई (आरएफ़सी 7636) के लिए authorization_code ग्रांट टाइप का इस्तेमाल किया जाना चाहिए.

**अगर आपको सीएसई के लिए, किसी तीसरे पक्ष के आईडीपी का इस्तेमाल करना है**

अपने IdP की एडमिन कंसोल का इस्तेमाल करके, हर ऐप्लिकेशन के लिए अलग क्लाइंट आईडी जनरेट करें.

**अगर आपको सीएसई के लिए Google आइडेंटिटी का इस्तेमाल करना है**

इन क्लाइंट आईडी का इस्तेमाल करें:

• Drive for Desktop—क्लाइंट आईडी 947318989803-k88lapdik9bledfml8rr69ic6d3rdv57.apps.googleusercontent.com का इस्तेमाल करें
• Android के लिए Drive—क्लाइंट आईडी 313892590415-6lbccuf47cou4q45vanraqp3fv5jt9do.apps.googleusercontent.com का इस्तेमाल करें
• iOS पर Drive—क्लाइंट आईडी 313892590415-d3h1l7kl4htab916r6jevqdtu8bfmh9m.apps.googleusercontent.com का इस्तेमाल करें
• Android पर Calendar—क्लाइंट आईडी 313892590415-q84luo8fon5pn5vl8a6rppo1qvcd3qvn.apps.googleusercontent.com का इस्तेमाल करें
• iOS पर Calendar—क्लाइंट आईडी 313892590415-283b3nilr8561tedgu1n4dcm9hd6g3hr.apps.googleusercontent.com का इस्तेमाल करें
• Android पर Gmail—क्लाइंट आईडी 313892590415-samhd32i4piankgs42o9sit5e9dug452.apps.googleusercontent.com का इस्तेमाल करें
• iOS पर Gmail—क्लाइंट आईडी 313892590415-ijvjpbnsh0gauuunjgsdn64ngg37k6rc.apps.googleusercontent.com का इस्तेमाल करें
• Android पर Meet—क्लाइंट आईडी 313892590415-i06v47su4k03ns7ot38akv7s9ari5oa5.apps.googleusercontent.com का इस्तेमाल करें
• iOS पर Meet—क्लाइंट आईडी 313892590415-32ha2bvs0tr1b12s089i33o58hjvqt55.apps.googleusercontent.com का इस्तेमाल करें

हमारा सुझाव है कि:

1. हर उस यूटिलिटी टूल के लिए एक क्लाइंट आईडी का इस्तेमाल करें जो आपकी कुंजी सेवा के खास अधिकारों वाले एंडपॉइंट (privilegedwrap, privilegedunwrap, privilegedprivatekeydecrypt) के साथ इंटरैक्ट करता है. जिन टूल के साथ यह सुविधा काम करती है उनकी सूची देखने के लिए, इस पेज पर वेब, डेस्कटॉप, और मोबाइल ऐप्लिकेशन के साथ-साथ यूटिलिटी टूल की समीक्षा करें पर जाएं.
2. privilegeunwrap और privilegedprivatekeydecrypt एंडपॉइंट के लिए, कुंजी मैनेज करने वाली सेवा की ऐक्सेस नीतियां कॉन्फ़िगर करें. इससे सीएसई डिक्रिप्टर के Client-ID को अनुमति दी जा सकेगी.

आपके आईडीपी (IdP) कॉन्फ़िगरेशन को आपके डोमेन पर इस यूआरआई पर रखा जाना चाहिए:

https://cse.subdomain.domain.tld/.well-known/cse-configuration

यहां subdomain.domain.tld, आपके ईमेल पते के डोमेन से मेल खाना चाहिए. उदाहरण के लिए, अगर आपके ईमेल पते में मौजूद डोमेन solarmora.com है, तो आपको .well-known फ़ाइल यहां रखनी होगी:

https://cse.solarmora.com/.well-known/cse-configuration

ध्यान दें: https://cse. प्रीफ़िक्स ज़रूरी है, क्योंकि .well-known यूआरआई, IETF (RFC 8615) के साथ रजिस्टर नहीं है.

well-known/cse-configuration पर मौजूद आपकी .well-known फ़ाइल का कॉन्टेंट, JSON एन्कोड (RFC 8259) होना चाहिए. साथ ही, इसमें ये फ़ील्ड शामिल होने चाहिए:

**अगर तीसरे पक्ष के आईडीपी का इस्तेमाल किया जा रहा है, तो आपकी .well-known फ़ाइल ऐसी दिखनी चाहिए:**

**अगर Google आइडेंटिटी का इस्तेमाल किया जा रहा है, तो आपकी .well-known फ़ाइल ऐसी दिखनी चाहिए:**

अगर आईडीपी के तौर पर Google आइडेंटिटी का इस्तेमाल किया जा रहा है, तो: क्लाइंट आईडी बनाते समय, Google Cloud Console में CORS सेट अप करें. ज़्यादा जानकारी के लिए, इस पेज पर ऊपर दिए गए वेब ऐप्लिकेशन के लिए क्लाइंट आईडी बनाना लेख पढ़ें.

अगर किसी तीसरे पक्ष के आईडीपी का इस्तेमाल किया जा रहा है, तो: आपके .well-known/openid-configuration और .well-known/cse-configuration को, क्रॉस-ऑरिजिन रिसॉर्स शेयरिंग (सीओआरएस) कॉल के लिए ऑरिजिन यूआरएल की अनुमति देनी होगी. अपने IdP की Admin console में, कॉन्फ़िगरेशन को इस तरह सेट अप करें:

.well-known/openid-configuration (discovery URI)

• तरीके: GET
• अनुमति वाले ऑरिजिन:
  • https://admin.google.com
  • https://client-side-encryption.google.com

.well-known/cse-configuration

• तरीके: GET
• अनुमति वाले ऑरिजिन:
  • https://admin.google.com
  • https://client-side-encryption.google.com

Admin console का इस्तेमाल करके, अपने आईडीपी से कनेक्ट करने के लिए, आपको अपने आईडीपी के बारे में यह जानकारी देनी होगी:

अगर Google आइडेंटिटी का इस्तेमाल किया जा रहा है, तो: क्लाइंट आईडी बनाते समय, Google Cloud Console में क्रॉस-ऑरिजिन रिसॉर्स शेयरिंग (सीओआरएस) सेट अप करें. ज़्यादा जानकारी के लिए, इस पेज पर ऊपर दिए गए वेब ऐप्लिकेशन के लिए क्लाइंट आईडी बनाना लेख पढ़ें.

अगर किसी तीसरे पक्ष के IdP का इस्तेमाल किया जा रहा है: अपने IdP की Admin console में, डिस्कवरी यूआरआई को कॉन्फ़िगर करें, ताकि क्रॉस-ऑरिजिन रिसॉर्स शेयरिंग (सीओआरएस) कॉल के लिए ऑरिजिन यूआरएल की अनुमति दी जा सके. इसके लिए, यह तरीका अपनाएं:

• तरीका: GET
• अनुमति वाले ऑरिजिन:
  • https://admin.google.com
  • https://client-side-encryption.google.com