আপনার সংস্থা যদি গুগল ওয়ার্কস্পেস ক্লায়েন্ট-সাইড এনক্রিপশন (CSE) ব্যবহার করে, তাহলে আপনি ডেটা এক্সপোর্ট টুল বা গুগল ভল্ট ব্যবহার করে এক্সপোর্ট করা ক্লায়েন্ট-সাইড এনক্রিপ্টেড ফাইল এবং ইমেল বার্তা ডিক্রিপ্ট করতে ডিক্রিপ্টার ইউটিলিটি ব্যবহার করতে পারেন। আপনি কমান্ড লাইন থেকে ডিক্রিপ্টারটি চালাতে পারেন।
ডিক্রিপ্টারটি চালানোর সময়, আপনি আপনার আইডেন্টিটি প্রোভাইডার (IdP) অথেনটিকেশন তথ্য, এনক্রিপ্ট করা ফাইলগুলির অবস্থান, ডিক্রিপ্ট করা ফাইলগুলির আউটপুট অবস্থান এবং অন্যান্য অপশন নির্দিষ্ট করার জন্য কমান্ড-লাইন ফ্ল্যাগ ব্যবহার করবেন। এছাড়াও, আপনি প্রায়শই ব্যবহার করেন এমন ডিক্রিপ্টার ফ্ল্যাগগুলি সংরক্ষণ করার জন্য একটি কনফিগারেশন (config) ফাইল তৈরি করতে পারেন।
শুরু করার আগে
- আপনি যখন একটি গুগল ডক্স, শীটস বা স্লাইডস ফাইল ডিক্রিপ্ট করেন, তখন ফাইলের নামের শেষে
.gdoczipবা এই জাতীয় কিছু যুক্ত হয়। ডিক্রিপশনের পরে, আপনি ফাইল কনভার্টার টুল ব্যবহার করে এই ফাইলগুলিকে মাইক্রোসফট অফিস ফরম্যাটে রূপান্তর করতে পারেন। বিস্তারিত জানতে, “এক্সপোর্ট করা এবং ডিক্রিপ্ট করা গুগল ফাইলগুলিকে মাইক্রোসফট অফিস ফাইলে রূপান্তর করুন” অংশে যান। - If you export Gmail CSE messages from Google Vault, you need to export in the MBOX format. The decrypter can't process exports in the PST format.
- ডিক্রিপ্টার ইউটিলিটিটি S/MIME সার্টিফিকেট দিয়ে এনক্রিপ্ট করা যেকোনো মেসেজ ডিক্রিপ্ট করতে পারে। এটি S/MIME সার্টিফিকেট ছাড়া এনক্রিপ্ট করা মেসেজও (অর্থাৎ, Gmail এন্ড-টু-এন্ড এনক্রিপশন (E2EE) ব্যবহার করে পাঠানো মেসেজ) ডিক্রিপ্ট করতে পারে, যদি আপনার ব্যবহারকারীরা থ্রেডের মধ্যে মেসেজগুলো বা মূল মেসেজটি এনক্রিপ্ট করে থাকেন।
- The decrypter utility can't decrypt messages (including all messages in a thread) encrypted without S/MIME certificates (Gmail E2EE) at another organization.
সিস্টেমের প্রয়োজনীয়তা
- Microsoft Windows version 10 or 11 64-bit
- macOS 12 (Monterey) or later. Both Apple and Intel processors are supported.
- Linux x86_64.
Download the decrypter
Open the archive or volume and extract the decrypter executable to a local directory or folder.
Configure key service access
The decrypter sends queries to your encryption key service, also called a key access control list service (KACLS), which protects each encrypted file or message in your export. Ask your identity provider's (IdP's) administrator and your encryption key service administrator for credentials the KACLS will accept; otherwise, the KACLS will reject the decrypter's attempts to decrypt exported content.
আপনার যা প্রয়োজন
To configure KACLS access, make sure you have:
- একটি OAuth ক্লায়েন্ট আইডি যা ইনস্টল করা অ্যাপ্লিকেশনগুলো ব্যবহার করতে পারে । ডিক্রিপ্টারের জন্য ক্লায়েন্ট আইডিটি অবশ্যই ইনস্টল করা ডেস্কটপ সফটওয়্যার দ্বারা ব্যবহারযোগ্য এবং ডিক্রিপ্টার ইউটিলিটির জন্য নির্দিষ্ট একটি ক্লায়েন্ট আইডি হতে হবে। এই ক্লায়েন্ট আইডিটি অবশ্যই CSE ওয়েব, ডেস্কটপ এবং মোবাইল অ্যাপ্লিকেশনের জন্য গুগল অ্যাডমিন কনসোলে সেট করা ক্লায়েন্ট আইডিগুলো থেকে ভিন্ন হতে হবে ।
- The OAuth client secret associated with the client ID , if your IdP is Google. You don't need the client secret if you're using a third-party IdP.
- The email address for the user account that authenticates to the KACLS for export decryption. This can be your own account, or it can be a special account that your administrators have configured. You need to log in as this user when running the decrypter utility, so it's likely you'll need the account's password.
KACLS endpoints
KACLS কনফিগারেশনে অবশ্যই ইউজার অ্যাকাউন্ট এবং ক্লায়েন্ট আইডিকে এক্সপোর্ট ডিক্রিপশনের জন্য ব্যবহৃত এন্ডপয়েন্টগুলো কল করার অনুমতি থাকতে হবে। আপনার KACLS অ্যাডমিনিস্ট্রেটর সাধারণত আপনার জন্য এটি সেট আপ করে দিতে পারেন। ডিক্রিপ্টার যে KACLS এন্ডপয়েন্টটি কল করে, তা এনক্রিপ্টেড কন্টেন্টের ধরনের উপর নির্ভর করে:
- Calendar CSE:
privilegedunwrap - Docs CSE, Sheets CSE, Slides CSE:
privilegedunwrap - Drive CSE:
privilegedunwrap - Gmail CSE (with S/MIME certificates):
privilegedprivatekeydecrypt - Gmail CSE (without S/MIME certificates):
privilegedunwrap
Configure Gmail S/MIME access (optional)
আপনি যদি গুগল ভল্ট থেকে S/MIME ব্যবহার করে ক্লায়েন্ট-সাইড এনক্রিপ্টেড জিমেইল মেসেজ ডিক্রিপ্ট করেন, তাহলে অতিরিক্ত ডেটা ডাউনলোড করার জন্য ডিক্রিপ্টারটিকে জিমেইলের পাবলিক এপিআই কল করতে হয়। গুগল ভল্ট এক্সপোর্টে প্রত্যেক ব্যবহারকারীর S/MIME সার্টিফিকেট অন্তর্ভুক্ত থাকে না, তাই ডিক্রিপ্টারটি প্রয়োজন অনুযায়ী জিমেইল থেকে স্বয়ংক্রিয়ভাবে সেগুলো সংগ্রহ করে নেয়।
আপনার প্রতিষ্ঠানের যেকোনো ব্যবহারকারীর জন্য S/MIME সার্টিফিকেট অনুরোধ করার অনুমতি দিতে, আপনাকে ডিক্রিপ্টারের কাছে একটি ডোমেন-ব্যাপী সার্ভিস অ্যাকাউন্টের ক্রেডেনশিয়াল পাঠাতে হবে। এই সার্ভিস অ্যাকাউন্টটি সেট আপ করা এবং এর ব্যক্তিগত ক্রেডেনশিয়াল সম্বলিত একটি JSON ফাইল তৈরি করার বিষয়ে বিস্তারিত জানতে, “শুধুমাত্র Gmail-এর জন্য: ক্লায়েন্ট-সাইড এনক্রিপশনের জন্য S/MIME কনফিগার করুন” (Gmail only: Configure S/MIME for client-side encryption) অংশে যান।
Note: This setup isn't required if you're decrypting client-side encrypted messages from the Data Export tool, or decrypting encrypted messages from Vault that don't have S/MIME certificates.
The decrypter can't fetch a user's S/MIME certificates and therefore can't decrypt client-side encrypted messages that use S/MIME if any of the following are true:
- The user account has been disabled or deleted
- S/MIME certificates on the account were removed
- Gmail API access is turned off
To help ensure decryption of client-side encrypted messages with S/MIME certificates, you can:
- Immediately decrypt messages exported from Vault while certificates remain available.
- Use the Data Export tool to export messages—these exports include each user's certificates.
Create a configuration file first
The decrypter uses OAuth and your IdP to acquire an authentication credential that it includes on every KACLS privilegedunwrap and privilegedprivatekeydecrypt request. Your OAuth configuration won't change often, so you can create a configuration (config) file containing your OAuth settings to avoid having to set them each time you run the decrypter. For details on config file flags, go to Config creation flags and Config update flags below.
Note: Although this setup step is optional, it's recommended to simplify use of the decrypter utility. If you don't create a config file, you can instead pass the OAuth flags on the command line to every execution of the decrypter. If you do both, the flag values passed on the command line override values read from the configuration file.
Example: Create a config for the Google IdP
উইন্ডোজে
On macOS or Linux
Now you can update the config to add the OAuth client secret in the authorization code grant flow.
উইন্ডোজে
On macOS or Linux
If your IdP isn't Google: Don't add the client secret, which is needed only by the Google IdP. Many other IdPs will reject authentication requests when the client secret is present.
Decrypt CSE files and email
The decrypter utility operates over unzipped export files.
- After you've created an export in the Data Export tool or Google Vault, download the zip files to your local computer.
- Unzip the files to a local directory or folder.
- Run the decrypter over the unzipped files and save the decrypted plaintext files to a different directory.
Example: Using a prepared config file without the service account credential
উইন্ডোজে
On macOS or Linux
Example: Using a prepared config file with a service account credential
উইন্ডোজে
On macOS or Linux
Example: Using neither a config file nor a service account credential
উইন্ডোজে
On macOS or Linux
Decrypter flags
A decrypter flag can include either 1 or 2 leading hyphens—for example, the flag for displaying help information can be either of the following:
-help
--help
Note: You can use only hyphens for flags, not slashes (/).
Flags for string arguments can include either an equals sign or a space to specify the argument—for example, the following flags are equivalent:
-action=decrypt
-action decrypt
Help flags
| পতাকা | বর্ণনা |
|---|---|
-version | Prints the version string. If you contact support, make sure you provide the version of the decrypter you're using. |
-help | Prints a screen of all flags for reference. |
-logfile | Specifies the output file where execution logs will be written. The text [TIMESTAMP] in the filename will be replaced with the execution start time. |
Decryption flags
| পতাকা | বর্ণনা |
|---|---|
-action decrypt | Optional. Specifies that the utility's mode is to decrypt CSE files. This is the default mode. |
-email <email_address> | Optional. The email address that might be prepopulated in the IdP authentication screen that opens in the browser. |
-issuer <uri> | Required unless it's in the config file. The OAuth issuer discovery URI for the IdP, such as https://accounts.google.com. For details, go to Connect to identity provider for client-side encryption . |
-client_id <oauth_client_id> | Required unless it's in the config file. An OAuth client ID from the IdP specified in the -issuer flag. For details, go to Connect to identity provider for client-side encryption . |
-client_secret <oauth_client_secret> | Optional, although some IdPs may require it. The OAuth client secret part corresponding to the client ID specified in the -client_id flag. |
-pkce | Enable or disable PKCE (Proof Key for Code Exchange) in the authorization code grant flow. If neither flag is specified, the decrypter defaults to enabled. |
-input <directory_or_file> | Required. The input directory or export file. If you specify a directory, the decrypter will recursively traverse the entire directory tree to find all exported CSE files. Use this option to bulk decrypt all exported files from an expanded export archive. If you specify 1 exported CSE file, the decrypter will decrypt just that file. If it's not a CSE file, the decrypter will request that you authenticate to the IdP but won't decrypt any files. |
-output <directory> | Required. The directory where decrypted files will be saved. |
-overwrite | বিদ্যমান ডিক্রিপ্ট করা ক্লিয়ারটেক্সট আউটপুট ফাইল ওভাররাইট করা সক্ষম বা অক্ষম করে। যদি এটি অক্ষম করা থাকে (যা ডিফল্ট), তাহলে ক্লিয়ারটেক্সট ফাইলটি আগে থেকে বিদ্যমান থাকলে ডিক্রিপ্টার সাইফারটেক্সট ফাইলগুলির ডিক্রিপশন এড়িয়ে যাবে। |
-workers <integer> | Optional. The number of parallel decryption workers. If you don't use this flag, the decrpyter defaults to the number of processor cores and hyperthreads reported by the operating system. If your computer has performance issues or you receive a multi-processing error when decrypting files, you can set this flag to 1 to disable parallel processing. |
-config <file> | Optional. A configuration file containing stored flag values. Use a config file to avoid pasting the same command-line flags whenever you decrypt files. For more information, go to Config creation flags and Config update flags below. Flag values you set on the command line take precedence over values in the config. Note: If you specify a file in the config and it's not found, an error occurs. |
-credential <file> | Optional. Specify a JSON file containing a domain-wide service account private key. When specified, decryption of Gmail CSE messages will query the Gmail API for each user's S/MIME certificates and key access control list service (KACLS) metadata. |
Config creation flags
Use these flags to save frequently used decryption command-line flags to a config file for reuse. A config file is formatted in JSON, which contains human-readable text.
| পতাকা | বর্ণনা |
|---|---|
-action createconfig | Required. Overrides the default mode of execution to run the config file creation mode. |
-config file | Required. Specify the output filename where you want to save the config. If the file already exists, it will be overwritten without a warning. |
-email <email_address> | Optional. Any specified flag values will be saved to the config file for reuse. |
Config update flags
Use these flags to update any flag values in a config file.
| পতাকা | বর্ণনা |
|---|---|
-action updateconfig | Required. Overrides the default mode of execution to run the config file update mode. |
-config file | Required. The config file that you want to update. If the file doesn't exist, an error occurs. |
-email <email_address> | All optional. Values for flags you specify on the command line are overwritten; any other values for flags in the config are preserved. To unset a stored flag, specify a blank value. Note: If an edit corrupts the JSON format, an error will likely occur when you use the config in the decrypter. |
Informational flags
Use these flags to print readable information about CSE files.
| পতাকা | বর্ণনা |
|---|---|
-action info | (Required) Overrides default execution mode to run in informational mode |
-input directory_or_file | (Required) Specifies input directory or export file If you specify a directory, the utility recursively scans the entire directory tree looking for all CSE export files. If you specify a file, the utility gives information for just that file. You can repeat this flag to specify additional input directories or files. Example: |