راه‌اندازی IAM و نقش‌های حساب سرویس

پیکربندی صحیح IAM بخشی پیش‌نیاز از مدیریت امنیت و هویت برای سیستم Fleet Engine شما است. از نقش‌های «مدیریت هویت و دسترسی» برای سفارشی‌سازی دسترسی به عملیات و داده‌های مختلف استفاده کنید تا الزامات رانندگان، مصرف‌کنندگان، و اپراتورهای ناوگان را برآورده کنید.

حساب‌های سرویس و نقش‌های IAM چیست؟

برای اصالت‌سنجی و صدور مجوز دسترسی به داده‌ها در Fleet Engine، حساب‌های خدمات را در «کنسول Google Cloud» راه‌اندازی می‌کنید. Fleet Engine مجموعه‌ای از نقش‌های IAM ازپیش تعیین‌شده دارد که به حساب سرویس اختصاص می‌دهید تا تعیین کنید آن حساب به کدام داده‌ها دسترسی دارد. برای جزئیات، به نمای کلی حساب‌های سرویس در اسناد Google Cloud مراجعه کنید.

Fleet Engine از نقش‌ها و خط‌مشی‌های IAM برای مدیریت مجوز روش‌ها و منابع Fleet Engine API استفاده می‌کند. برای اطلاعات بیشتر، به نمای کلی نقش‌ها در اسناد Google Cloud مراجعه کنید. فقط از نقش‌های حساب سرویس Fleet Engine که در بخش‌های زیر شرح داده شده است استفاده کنید.

برای اطلاعات کلی بیشتر درباره اعطای نقش‌های IAM، اعطای نقش IAM بااستفاده از کنسول Google Cloud را ببینید.

نقش‌های حساب سرویس Fleet Engine

سرویس Mobility که برای نصب Fleet Engine انتخاب می‌کنید، نقش‌ها و اجازه‌هایی را که گنجانده می‌شود تعیین می‌کند.

نقش‌های زیر نشان می‌دهند که اجازه‌ها چگونه با نقش‌های Fleet Engine کار می‌کنند:

  • نقش‌های ondemandAdmin و deliveryAdmin می‌توانند همه عملیات‌ها را در Fleet Engine انجام دهند. از این نقش‌ها فقط در محیط‌های مورداعتماد استفاده کنید، مثلاً ارتباطات بین سرور زیرینه و Fleet Engine.

  • نقش‌های driverSdkUser و consumerSdkUser فقط مجاز به دریافت جزئیات سفرهای اختصاص‌داده‌شده و به‌روزرسانی یا دریافت مکان خودرو هستند. این نوع نقش‌ها معمولاً توسط مشتریان در محیط‌های با اعتماد پایین استفاده می‌شود، مانند برنامه‌های راننده، مصرف‌کننده، یا نظارت.

نقش‌ها و اجازه‌های اعطاشده برای سفرهای درخواستی و تکالیف زمان‌بندی‌شده در جدول‌های زیر شرح داده شده است.

سفرهای درخواستی

نقش اجازه

سرپرست Fleet Engine On-demand

roles/fleetengine.ondemandAdmin

اجازه خواندن، نوشتن، و حذف کردن را برای همه منابع خودرو و سفر اعطا می‌کند. اصول با این نقش نیازی به استفاده از JWT ندارند و درعوض باید هر زمان که ممکن است از «اعتبارنامه پیش‌فرض برنامه» استفاده کنند. این نقش ادعاهای JWT سفارشی را نادیده می‌گیرد. استفاده از این نقش را به محیط‌های مورداعتماد مثل سرور زیرینه محدود کنید.

کاربر کیت توسعه نرم‌افزار راننده Fleet Engine

roles/fleetengine.driverSdkUser

مکان‌ها و مسیرهای وسایل نقلیه را به‌روز کنید و اطلاعات مربوط به وسایل نقلیه و سفرها را بازیابی کنید. از JWT با ادعاهای سفارشی ایجادشده با این نقش برای اصالت‌سنجی و صدور مجوز از برنامه‌های راننده برای هم‌سفری یا تحویل استفاده کنید.

کاربر کیت توسعه نرم‌افزار مصرف‌کننده Fleet Engine

roles/fleetengine.consumerSdkUser

جستجوی وسایل نقلیه و بازیابی اطلاعات مربوط به وسایل نقلیه و سفرها. از JWT با ادعاهای سفارشی ایجادشده با این نقش برای برنامه‌های مصرف‌کننده برای هم‌سفری یا تحویل استفاده کنید .

تکالیف زمان‌بندی‌شده

نقش اجازه

سرپرست تحویل Fleet Engine

roles/fleetengine.deliveryAdmin

اجازه خواندن، نوشتن، و حذف کردن را برای منابع تحویل اعطا می‌کند. اصول با این نقش نیازی به استفاده از JWT ندارند و باید به‌جای آن از «اعتبارنامه پیش‌فرض برنامه» استفاده کنند. ادعاهای JWT سفارشی را نادیده می‌گیرد. استفاده از این نقش را به محیط‌های مورداعتماد مانند سرور زیرینه خودتان محدود کنید.

خواننده ناوگان توزیع Fleet Engine

roles/fleetengine.deliveryFleetReader

اجازه خواندن خودروهای تحویل و تکالیف و جستجوی تکالیف بااستفاده از شناسه ردگیری را اعطا می‌کند. ژتون‌های صادرشده توسط حساب سرویس با این نقش معمولاً از مرورگر وب اپراتور ناوگان توزیع استفاده می‌شود.

کاربر راننده نامطمئن Fleet Engine Delivery

roles/fleetengine.deliveryUntrustedDriver

اجازه به‌روزرسانی مکان خودرو تحویل را اعطا می‌کند. ژتون‌های صادرشده توسط حساب سرویس با این نقش معمولاً از دستگاه همراه راننده تحویل شما استفاده می‌شود.

توجه: غیرقابل‌اعتماد به دستگاه راننده‌ای اشاره دارد که توسط فناوری اطلاعات شرکت مدیریت نمی‌شود، بلکه توسط راننده ارائه شده است و معمولاً فاقد کنترل‌های امنیتی مناسب فناوری اطلاعات است. سازمان‌هایی که خط‌مشی «هر کسی دستگاه خودش» دارند باید ایمنی این نقش را انتخاب کنند و فقط به برنامه تلفن همراه برای ارسال به‌روزرسانی‌های مکان خودرو به Fleet Engine متکی باشند. همه تعامل‌های دیگر باید از سرورهای زیرینه شما منشأ بگیرند.

کاربر مصرف‌کننده Fleet Engine Delivery

roles/fleetengine.deliveryConsumer

اجازه جستجوی تکالیف بااستفاده از شناسه ردگیری و خواندن اطلاعات تکلیف را اعطا می‌کند، اما اجازه به‌روزرسانی اطلاعات تکلیف را اعطا نمی‌کند. ژتون‌های صادرشده توسط حساب سرویس با این نقش معمولاً از مرورگر وب مصرف‌کننده تحویل استفاده می‌شوند.

کاربر راننده مورداعتماد Fleet Engine Delivery

roles/fleetengine.deliveryTrustedDriver

اجازه ایجاد و به‌روزرسانی وسایل نقلیه و تکالیف تحویل را اعطا می‌کند، ازجمله به‌روزرسانی مکان وسیله نقلیه تحویل و وضعیت یا نتیجه تکلیف. توکن‌های صادرشده توسط حساب سرویس با این نقش معمولاً از دستگاه‌های همراه راننده تحویل شما یا از سرورهای زیرینه شما استفاده می‌شوند.

توجه: «مورد اعتماد» به دستگاه راننده‌ای اشاره دارد که توسط بخش فناوری اطلاعات شرکت مدیریت می‌شود و کنترل‌های امنیتی مناسبی دارد. سازمان‌هایی که این دستگاه‌ها را ارائه می‌دهند می‌توانند انتخاب کنند که تعاملات Fleet Engine را در برنامه تلفن همراه ادغام کنند.

نحوه استفاده از نقش‌های IAM و حساب‌های سرویس با Fleet Engine

برای استفاده از حساب‌های سرویس برای اصالت‌سنجی و صدور مجوز در Fleet Engine، این مراحل کلی را دنبال کنید:

  1. حساب‌های خدمات را در Google Cloud Console برای هر نقشی که نیاز دارید ایجاد کنید. برای اصالت‌سنجی برنامه‌ها و وب‌سایت‌های راننده، مصرف‌کننده، نظارت بر ناوگان، و مدیریت ناوگان (هر نرم‌افزاری که به دسترسی به داده‌های Fleet Engine نیاز دارد) به حساب‌های خدمات نیاز دارید. نرم‌افزاری که به اجازه‌های یکسان نیاز دارد می‌تواند از حساب سرویس یکسانی استفاده کند.

  2. نقش خط‌مشی IAM موتور ناوگان را به هر حساب سرویس اختصاص دهید. نقش خط‌مشی IAM مختص Fleet Engine را انتخاب کنید که اجازه‌های مناسب را برای دسترسی یا به‌روزرسانی داده‌هایتان در Fleet Engine ارائه می‌دهد.

  3. از حساب‌های سرویس مناسب در برنامه‌ها و نرم‌افزارهایتان استفاده کنید تا اتصال آن‌ها به Fleet Engine را اصالت‌سنجی کنید و دسترسی به منابع اعطاشده توسط نقش اختصاص‌یافته را مجاز کنید.

برای جزئیات درباره نحوه قرارگیری نقش‌های حساب سرویس در امنیت Fleet Engine، به نمای کلی امنیت مراجعه کنید. برای توضیح کامل نقش‌های حساب سرویس، به آشنایی با نقش‌های IAM در اسناد Google Cloud مراجعه کنید.

قدم بعدی چیست