Role konfiguracji uprawnień i konta usługi

Prawidłowe skonfigurowanie uprawnień jest niezbędnym elementem zarządzania bezpieczeństwem i tożsamością w systemie Fleet Engine. Używaj ról uprawnień, aby dostosować dostęp do różnych operacji i danych do wymagań kierowców, konsumentów i operatorów flot.

Czym są konta usługi i role uprawnień?

Konta usługi konfigurujesz w konsoli Google Cloud, aby uwierzytelniać i autoryzować dostęp do danych w Fleet Engine. Fleet Engine ma zestaw predefiniowanych ról uprawnień, które przypisujesz do konta usługi, aby określić, do których danych to konto ma dostęp. Szczegółowe informacje znajdziesz w dokumentacji Google Cloud w artykule Omówienie kont usługi.

Fleet Engine używa ról i zasad uprawnień do zarządzania autoryzacją metod i zasobów interfejsu Fleet Engine API. Więcej informacji znajdziesz w dokumentacji Google Cloud w artykule Omówienie ról. Używaj tylko ról konta usługi Fleet Engine opisanych w kolejnych sekcjach.

Więcej ogólnych informacji o przyznawaniu ról uprawnień znajdziesz w artykule Przypisywanie ról za pomocą konsoli Google Cloud.

Role konta usługi Fleet Engine

Role i uprawnienia, które są uwzględniane, zależą od usługi mobilności wybranej do instalacji Fleet Engine.

Te role pokazują, jak działają uprawnienia w rolach Fleet Engine:

  • Role ondemandAdmin i deliveryAdmin mogą wykonywać wszystkie operacje w Fleet Engine. Używaj tych ról tylko w zaufanych środowiskach, np. w komunikacji między serwerem backendu a Fleet Engine.

  • Role driverSdkUser i consumerSdkUser mogą tylko pobierać szczegóły przypisanych podróży oraz aktualizować lub odbierać lokalizację pojazdu. Tego typu role są zwykle używane przez klientów w środowiskach o niskim poziomie zaufania, np. w aplikacjach dla kierowców, konsumentów lub monitorujących.

Role i uprawnienia przyznane w przypadku podróży na żądanie i zaplanowanych zadań są opisane w tabelach poniżej.

Podróże na żądanie

Rola Uprawnienie

Administrator Fleet Engine On-Demand

roles/fleetengine.ondemandAdmin

Przyznaje uprawnienia do odczytu, zapisu i usuwania wszystkich zasobów pojazdów i podróży. Podmioty zabezpieczeń z tą rolą nie muszą używać tokenów JWT, a zamiast tego powinny w miarę możliwości używać domyślnego uwierzytelniania aplikacji. Ta rola ignoruje niestandardowe deklaracje JWT. Ogranicz używanie tej roli do zaufanych środowisk, takich jak serwer backendu.

Użytkownik pakietu sterowników SDK Fleet Engine

roles/fleetengine.driverSdkUser

Aktualizowanie lokalizacji i tras pojazdów oraz pobieranie informacji o pojazdach i podróżach. Używaj tokenów JWT z deklaracjami niestandardowymi utworzonymi za pomocą tej roli do uwierzytelniania i autoryzacji w aplikacjach dla kierowców w przypadku wspólnych przejazdów lub dostaw.

Użytkownik pakietu konsumenckiego SDK Fleet Engine

roles/fleetengine.consumerSdkUser

Wyszukiwanie pojazdów i pobieranie informacji o pojazdach i podróżach. Używaj tokenów JWT z deklaracjami niestandardowymi utworzonymi za pomocą tej roli w aplikacjach konsumenckich w przypadku wspólnych przejazdów lub dostaw .

Zaplanowane zadania

Rola Uprawnienie

Administrator Fleet Engine Delivery

roles/fleetengine.deliveryAdmin

Przyznaje uprawnienia do odczytu, zapisu i usuwania zasobów dostawy. Podmioty zabezpieczeń z tą rolą nie muszą używać tokenów JWT, a zamiast tego powinny używać domyślnego uwierzytelniania aplikacji. Ignoruje niestandardowe deklaracje JWT. Ogranicz używanie tej roli do zaufanych środowisk, takich jak serwer backendu.

Użytkownik odczytujący informacje o flocie w usłudze Fleet Engine Delivery

roles/fleetengine.deliveryFleetReader

Przyznaje uprawnienia do odczytu pojazdów i zadań dostawy oraz do wyszukiwania zadań za pomocą identyfikatora śledzenia. Tokeny wydawane przez konto usługi z tą rolą są zwykle używane w przeglądarce internetowej operatora floty dostawczej.

Użytkownik niezaufanego sterownika Fleet Engine Delivery

roles/fleetengine.deliveryUntrustedDriver

Przyznaje uprawnienia do aktualizowania lokalizacji pojazdu dostawczego. Tokeny wydawane przez konto usługi z tą rolą są zwykle używane na urządzeniu mobilnym kierowcy dostawy.

Uwaga: termin „niezaufany” odnosi się do a urządzenia kierowcy, które nie jest zarządzane przez dział IT firmy, ale jest dostarczane przez kierowcę i zwykle nie ma odpowiednich zabezpieczeń IT. Organizacje, które mają zasady dotyczące korzystania z własnych urządzeń, powinny wybrać bezpieczeństwo tej roli i polegać tylko na aplikacji mobilnej, która wysyła aktualizacje lokalizacji pojazdu do Fleet Engine. Wszystkie inne interakcje powinny pochodzić z serwerów backendu.

Użytkownik indywidualny Fleet Engine Delivery

roles/fleetengine.deliveryConsumer

Przyznaje uprawnienia do wyszukiwania zadań za pomocą identyfikatora śledzenia oraz do odczytu, ale nie do aktualizowania informacji o zadaniach. Tokeny wydawane przez konto usługi z tą rolą są zwykle używane w przeglądarce internetowej konsumenta dostawy.

Użytkownik zaufanego sterownika Fleet Engine Delivery

roles/fleetengine.deliveryTrustedDriver

Przyznaje uprawnienia do tworzenia i aktualizowania pojazdów i zadań dostawy, w tym do aktualizowania lokalizacji pojazdu dostawczego oraz stanu lub wyniku zadania. Tokeny wydawane przez konto usługi z tą rolą są zwykle używane na urządzeniach mobilnych kierowców dostaw lub na serwerach backendu.

Uwaga: termin „zaufany” odnosi się do urządzenia kierowcy zarządzanego przez dział IT firmy, które ma odpowiednie zabezpieczenia. Organizacje, które udostępniają te urządzenia, mogą zintegrować interakcje z Fleet Engine z aplikacją mobilną.

Jak używać ról uprawnień i kont usługi w Fleet Engine

Aby używać kont usługi do uwierzytelniania i autoryzacji w Fleet Engine, wykonaj te ogólne czynności:

  1. Utwórz konta usługi w konsoli Google Cloud dla każdej potrzebnej roli. Konta usługi są potrzebne do uwierzytelniania aplikacji i witryn dla kierowców, konsumentów, monitorowania floty i zarządzania flotą – czyli każdego oprogramowania, które potrzebuje dostępu do danych Fleet Engine. Oprogramowanie, które potrzebuje tych samych uprawnień, może używać tego samego konta usługi.

  2. Przypisz do każdego konta usługi rolę uprawnień Fleet Engine. Wybierz rolę uprawnień Fleet Engine, która zapewnia odpowiednie uprawnienia do uzyskiwania dostępu do danych w Fleet Engine lub ich aktualizowania.

  3. Używaj odpowiednich kont usługi w aplikacjach i oprogramowaniu, aby uwierzytelniać połączenie z Fleet Engine i autoryzować dostęp do zasobów przyznanych przez przypisaną rolę.

Szczegółowe informacje o tym, jak role kont usługi pasują do zabezpieczeń Fleet Engine, znajdziesz w artykule Omówienie zabezpieczeń. Pełne wyjaśnienie ról konta usługi znajdziesz w dokumentacji Google Cloud w artykule Omówienie ról uprawnień.

Co dalej?