راه‌اندازی IAM و نقش‌های حساب سرویس

پیکربندی صحیح IAM بخش پیش‌نیاز مدیریت امنیت و هویت برای سیستم Fleet Engine شما است. از نقش‌های IAM برای سفارشی‌سازی دسترسی به عملیات و داده‌های مختلف استفاده کنید تا الزامات رانندگان، مصرف‌کنندگان، و بهره‌برداران ناوگان را برآورده کنید.

حساب‌های سرویس و نقش‌های IAM چیست؟

برای اصالت‌سنجی و صدور مجوز دسترسی به داده‌ها در Fleet Engine، حساب‌های خدمات را در Google Cloud Console راه‌اندازی می‌کنید. ‫Fleet Engine مجموعه‌ای از نقش‌های IAM ازپیش تعیین‌شده دارد که به حساب خدمات اختصاص می‌دهید تا مشخص کنید این حساب به کدام داده‌ها دسترسی دارد. برای جزئیات، به نمای کلی حساب‌های سرویس در اسناد Google Cloud مراجعه کنید.

‫Fleet Engine از نقش‌ها و خط‌مشی‌های IAM برای مدیریت مجوز روش‌ها و منابع Fleet Engine API استفاده می‌کند. برای اطلاعات بیشتر، به نمای کلی نقش‌ها در مستندات Google Cloud مراجعه کنید. فقط از نقش‌های حساب سرویس Fleet Engine که در بخش‌های زیر شرح داده شده است استفاده کنید.

برای اطلاعات کلی بیشتر درباره اعطای نقش‌های IAM، اعطای نقش IAM بااستفاده از کنسول Google Cloud را ببینید.

نقش‌های حساب سرویس Fleet Engine

سرویس «تحرک» که برای نصب «موتور ناوگان» انتخاب می‌کنید تعیین می‌کند چه نقش‌ها و اجازه‌هایی اضافه شود.

نقش‌های زیر نشان می‌دهند که اجازه‌ها چگونه با نقش‌های Fleet Engine کار می‌کنند:

  • نقش‌های ondemandAdmin و deliveryAdmin می‌توانند همه عملیات را در Fleet Engine انجام دهند. فقط در محیط‌های مورداعتماد، مثل ارتباطات بین سرور زیرینه و Fleet Engine، از این نقش‌ها استفاده کنید.

  • نقش‌های driverSdkUser و consumerSdkUser فقط اجازه دارند جزئیات سفرهای اختصاص‌داده‌شده را دریافت کنند و مکان خودرو را به‌روزرسانی یا دریافت کنند. این نوع نقش‌ها معمولاً توسط مشتریان در محیط‌های با اعتماد پایین استفاده می‌شود، مانند برنامه‌های راننده، مصرف‌کننده، یا نظارت.

نقش‌ها و اجازه‌های اعطاشده برای سفرهای درخواستی و تکالیف زمان‌بندی‌شده در جدول‌های زیر شرح داده شده است.

سفرهای درخواستی

نقش اجازه

سرپرست Fleet Engine On-demand

roles/fleetengine.ondemandAdmin

اجازه خواندن، نوشتن، و حذف کردن همه منابع خودرو و سفرها را می‌دهد. اصول با این نقش نیازی به استفاده از JWT ندارند و باید درصورت امکان از «اعتبارنامه پیش‌فرض برنامه» استفاده کنند. این نقش ادعاهای JWT سفارشی را نادیده می‌گیرد. استفاده از این نقش را به محیط‌های مطمئن مثل سرور زیرین محدود کنید.

کاربر «کیت توسعه نرم‌افزار درایور Fleet Engine»

roles/fleetengine.driverSdkUser

مکان‌ها و مسیرهای وسایل نقلیه را به‌روز کنید و اطلاعات مربوط به وسایل نقلیه و سفرها را بازیابی کنید. از «نشان‌های وب JSON» با ادعاهای سفارشی که با این نقش ایجاد شده‌اند برای اصالت‌سنجی و مجوزدهی از برنامه‌های راننده برای هم‌سفری یا تحویل استفاده کنید.

کاربر کیت توسعه نرم‌افزار مصرف‌کننده Fleet Engine

roles/fleetengine.consumerSdkUser

جستجوی وسایل نقلیه و بازیابی اطلاعات مربوط به وسایل نقلیه و سفرها. از JWT با ادعاهای سفارشی ایجادشده با این نقش برای برنامه‌های مصرف‌کننده برای هم‌سفری یا تحویل استفاده کنید .

تکالیف زمان‌بندی‌شده

نقش اجازه

سرپرست تحویل Fleet Engine

roles/fleetengine.deliveryAdmin

اجازه خواندن، نوشتن، و حذف کردن منابع ارائه را می‌دهد. اصول با این نقش نیازی به استفاده از JWT ندارند و باید به‌جای آن از «اعتبارنامه پیش‌فرض برنامه» استفاده کنند. ادعاهای سفارشی JWT را نادیده می‌گیرد. استفاده از این نقش را به محیط‌های مورداعتماد مثل سرور زیرینه محدود کنید.

‫Fleet Engine Delivery Fleet Reader

roles/fleetengine.deliveryFleetReader

اجازه خواندن خودروهای تحویل و وظایف و جستجوی وظایف بااستفاده از شناسه پیگیری را می‌دهد. معمولاً از نشان‌های صادرشده توسط حساب سرویس با این نقش در مرورگر وب اپراتور ناوگان توزیع استفاده می‌شود.

کاربر راننده نامطمئن «موتور ناوگان» برای تحویل

roles/fleetengine.deliveryUntrustedDriver

اجازه به‌روزرسانی مکان خودرو تحویل را اعطا می‌کند. نشانه‌های صادرشده توسط حساب خدماتی با این نقش معمولاً از دستگاه همراه راننده توزیع شما استفاده می‌شود.

توجه: «غیرقابل‌اعتماد» به دستگاه راننده‌ای اشاره دارد که فناوری اطلاعات شرکت آن را مدیریت نمی‌کند، بلکه راننده آن را ارائه می‌دهد و معمولاً کنترل‌های امنیتی فناوری اطلاعات مناسبی ندارد. سازمان‌هایی که خط‌مشی‌های «دستگاه شخصی» دارند باید ایمنی این نقش را انتخاب کنند و فقط از برنامه تلفن همراه برای ارسال به‌روزرسانی‌های مکان خودرو به Fleet Engine استفاده کنند. همه تعامل‌های دیگر باید از سرورهای زیرینه شما منشأ بگیرند.

کاربر مصرف‌کننده Fleet Engine Delivery

roles/fleetengine.deliveryConsumer

اجازه جستجوی تکالیف بااستفاده از شناسه ردگیری و خواندن اطلاعات تکلیف (اما نه به‌روزرسانی آن) را اعطا می‌کند. نشان‌های صادرشده توسط حساب سرویس با این نقش معمولاً از مرورگر وب مصرف‌کننده تحویل استفاده می‌شوند.

کاربر راننده مطمئن تحویل Fleet Engine

roles/fleetengine.deliveryTrustedDriver

اجازه ایجاد و به‌روزرسانی خودروهای تحویل و تکالیف را می‌دهد، ازجمله به‌روزرسانی مکان خودرو تحویل و وضعیت تکلیف یا نتیجه. نشان‌های صادرشده توسط حساب خدماتی با این نقش معمولاً از دستگاه‌های همراه راننده توزیع یا از سرورهای پشتیبان شما استفاده می‌شوند.

توجه: «مطمئن» به دستگاه راننده‌ای اشاره دارد که فناوری اطلاعات شرکت آن را مدیریت می‌کند و کنترل‌های امنیتی مناسب را دارد. سازمان‌هایی که این دستگاه‌ها را ارائه می‌دهند می‌توانند انتخاب کنند که تعاملات Fleet Engine را در برنامه تلفن همراه ادغام کنند.

نحوه استفاده از نقش‌های IAM و حساب‌های سرویس با Fleet Engine

برای استفاده از حساب‌های سرویس برای اصالت‌سنجی و صدور مجوز در Fleet Engine، این مراحل کلی را دنبال کنید:

  1. برای هر نقشی که نیاز دارید، در Google Cloud Console حساب‌های خدمات ایجاد کنید. برای اصالت‌سنجی برنامه‌ها و وب‌سایت‌های راننده، مصرف‌کننده، پایش ناوگان، و مدیریت ناوگان (هر نرم‌افزاری که به دسترسی به داده‌های Fleet Engine نیاز دارد) به حساب‌های خدمات نیاز دارید. نرم‌افزاری که به اجازه‌های یکسان نیاز دارد می‌تواند از حساب سرویس یکسانی استفاده کند.

  2. نقش خط‌مشی IAM «موتور ناوگان» را به هر حساب سرویس اختصاص دهید. نقش خط‌مشی IAM مختص Fleet Engine را انتخاب کنید که اجازه‌های مناسب را برای دسترسی یا به‌روزرسانی داده‌هایتان در Fleet Engine ارائه می‌دهد.

  3. در برنامه‌ها و نرم‌افزارهای خود از حساب‌های سرویس مناسب استفاده کنید تا اتصال آن‌ها به Fleet Engine را اصالت‌سنجی کنید و دسترسی به منابع اعطاشده توسط نقش اختصاص‌یافته را مجاز کنید.

برای جزئیات درباره نحوه قرارگیری نقش‌های حساب سرویس در امنیت Fleet Engine، به نمای کلی امنیت مراجعه کنید. برای توضیح کامل نقش‌های حساب سرویس، به آشنایی با نقش‌های IAM در اسناد Google Cloud مراجعه کنید.

قدم بعدی چیست