JSON ウェブトークン

JSON ウェブトークン（JWT）は、クライアントとサーバー間の情報交換の認証と認可に使用されるオープンなウェブ標準です。アプリユーザーが適切なロール認証情報を使用して初めてログインすると、サーバーはエンコードされ、デジタル署名された JWT を作成して返します。この JWT は、後続のリクエストで使用されます。このプロセスでは、ユーザーを認証し、アカウントのロールに基づいてルート、サービス、リソースへのアクセスを認可します。

Fleet Engine では、信頼性の低い環境（スマートフォンやブラウザ）からの API メソッド呼び出しに JSON Web Token（JWT）を使用する必要があります。

JWT はサーバーで生成され、署名、暗号化されて、その後のサーバーとのやり取りのためにクライアントに渡されます。JWT は、有効期限が切れるか、無効になるまで使用されます。

重要な詳細

• アプリケーションのデフォルト認証情報を使用して、Fleet Engine に対する認証と認可を行います。
• 適切なサービス アカウントを使用して JWT に署名します。Fleet Engine の基本の Fleet Engine サービス アカウントのロールをご覧ください。

API キーとは異なり、JWT は有効期間が短く、ロールに実行が許可されているオペレーションのみに制限されます。JWT の詳細については、Wikipedia の JSON Web Token をご覧ください。アクセスロールの詳細については、このガイドのサービス アカウントのロールをご覧ください。

JWT 要素

JWT にはヘッダーとクレーム セクションが含まれます。ヘッダー セクションには、サービス アカウントから取得した秘密鍵や暗号化アルゴリズムなどの情報が含まれます。クレーム セクションには、JWT の作成時刻、有効期間、JWT がアクセスを要求するサービス、アクセスをスコープするためのその他の認可情報（配送車両 ID など）が含まれます。

次の表に、一般的な JWT フィールドの説明と、Fleet Engine クラウド プロジェクトでこれらのフィールドの値を確認できる場所に関する具体的な情報を示します。

JWT ヘッダー フィールド

フィールド	説明
alg	使用するアルゴリズム。`RS256`。
typ	トークンのタイプ。`JWT`。
子供	サービス アカウントの秘密鍵 ID。この値は、サービス アカウントの JSON ファイルの private_key_id フィールドで確認できます。適切なレベルの権限を持つサービス アカウントの鍵を使用してください。

JWT クレーム フィールド

フィールド	説明
iss	サービス アカウントのメールアドレス。サービス アカウントの JSON ファイルの client_email フィールドにあります。
Pub/Subです	サービス アカウントのメールアドレス。サービス アカウントの JSON ファイルの client_email フィールドにあります。
AUD	サービス アカウントの SERVICE_NAME（この場合は https://fleetengine.googleapis.com/）
iat	JWT が作成されたときのタイムスタンプ。00:00:00 UTC, January 1, 1970 からの経過秒数で指定します。スキューに 10 分かかります。タイムスタンプが過去または未来に遠すぎる場合、サーバーがエラーを報告することがあります。
exp	JWT の有効期限を示すタイムスタンプ。00:00:00 UTC, January 1, 1970 からの経過秒数で指定します。タイムスタンプが 1 時間以上先の場合、リクエストは失敗します。
authorization	ユースケースに応じて、deliveryvehicleid、trackingid、taskid、taskids のいずれかが含まれる場合があります。 taskid を指定する場合、認可スコープは次のいずれかの形式の配列にする必要があります。 "taskids": ["task_id_one","task_id_two"] または "taskids": ["*"]

Fleet Engine の JWT クレーム

Fleet Engine はプライベート クレームを使用します。プライベート クレームを使用すると、承認されたクライアントのみが独自のデータにアクセスできるようになります。

たとえば、サーバーがドライバーのモバイル デバイスに JSON Web Token を発行する場合、vehicleid クレームまたは deliveryvehicleid クレームに、そのドライバーの車両 ID の値を含める必要があります。次に、ドライバーのロールに応じて、JWT は特定の車両 ID のみにアクセスを許可し、他の任意の車両 ID にはアクセスを許可しません。

Fleet Engine は、次のプライベート クレームを使用します。

オンデマンドのルート

• vehicleid:
  • Driver SDK は、ルートまたは車両のどちらで動作しているかにかかわらず、常にこのクレームを使用します。Fleet Engine バックエンドは、変更を行う前に、車両がリクエストされたルートに関連付けられていることを確認します。
  • JWT は、必須ではない場合でも、車両とルートの両方のオペレーションをカバーできます。これにより、JWT 署名の実装が簡素化される可能性があります。
• tripid:
  • Consumer SDK は常にこのクレームを使用します。
  • JWT は、必要でない場合でも、車両とルートの両方のオペレーションをカバーできるため、トークン署名の実装を簡素化できます。

スケジュール設定されたタスク

• deliveryvehicleid

  配送車両ごとの API を呼び出すときに使用します。

• taskid

  Tasks API を呼び出すときに使用します。

• taskids

  BatchCreateTasksAPI を呼び出すときに使用します。このクレームは配列形式にする必要があります。配列には、リクエストを完了するために必要なすべてのタスク ID を含める必要があります。delivervehicleid、trackingid、taskid の各クレームは含めないでください。

• trackingid

  GetTaskTrackingInfoAPI を呼び出すときに使用します。クレームは、リクエストのトラッキング ID と一致する必要があります。delivervehicleid、taskid、taskids の各クレームは含めないでください。

次のステップ

• Fleet Engine のセキュリティ設計を読んで、認証フロー全体を理解する。
• サーバーから JSON Web Token を発行する方法を学習する。