Vai trò trong tài khoản dịch vụ và thiết lập IAM

Định cấu hình IAM một cách chính xác là một phần bắt buộc của việc quản lý danh tính và bảo mật cho hệ thống Fleet Engine. Sử dụng các vai trò IAM để điều chỉnh quyền truy cập vào các thao tác và dữ liệu khác nhau nhằm đáp ứng yêu cầu của người lái xe, người tiêu dùng và người vận hành đội xe.

Tài khoản dịch vụ và vai trò IAM là gì?

Bạn thiết lập tài khoản dịch vụ trong Google Cloud Console để xác thực và cấp quyền truy cập vào dữ liệu trong Fleet Engine. Fleet Engine có một bộ vai trò IAM được xác định trước mà bạn chỉ định cho một tài khoản dịch vụ để xác định dữ liệu mà tài khoản đó có quyền truy cập. Để biết chi tiết, hãy xem Tổng quan về tài khoản dịch vụ trong tài liệu Google Cloud.

Fleet Engine sử dụng các vai trò và chính sách IAM để quản lý việc uỷ quyền cho các phương thức và tài nguyên Fleet Engine API. Để biết thêm thông tin, hãy xem phần Tổng quan về vai trò trong tài liệu của Google Cloud. Chỉ sử dụng các vai trò tài khoản dịch vụ Fleet Engine được mô tả trong các phần sau.

Để biết thêm thông tin chung về việc cấp vai trò IAM, hãy xem Cấp vai trò IAM bằng cách sử dụng bảng điều khiển Google Cloud.

Các vai trò của tài khoản dịch vụ Fleet Engine

Dịch vụ Di động mà bạn chọn cho quá trình cài đặt Fleet Engine sẽ xác định các vai trò và quyền được đưa vào.

Các vai trò sau đây minh hoạ cách quyền hoạt động với các vai trò trong Fleet Engine:

  • Vai trò ondemandAdmin và deliveryAdmin có thể thực hiện mọi thao tác trong Fleet Engine. Chỉ sử dụng các vai trò này trong môi trường đáng tin cậy, chẳng hạn như thông tin liên lạc giữa máy chủ phụ trợ và Fleet Engine.

  • Các vai trò driverSdkUser và consumerSdkUser chỉ được phép lấy thông tin chi tiết về các chuyến đi được chỉ định và cập nhật hoặc nhận vị trí của xe. Những loại vai trò này thường được khách hàng sử dụng trong môi trường có độ tin cậy thấp, chẳng hạn như ứng dụng trình điều khiển, người tiêu dùng hoặc giám sát.

Các vai trò và quyền được cấp cho chuyến đi theo yêu cầu và nhiệm vụ định kỳ được mô tả trong các bảng sau.

Chuyến đi theo yêu cầu

Vai trò Quyền

Quản trị viên Fleet Engine theo yêu cầu

roles/fleetengine.ondemandAdmin

Cấp quyền đọc, ghi và xoá cho tất cả tài nguyên về xe và chuyến đi. Các thực thể có vai trò này không cần sử dụng JWT và thay vào đó, nên sử dụng Thông tin xác thực mặc định của ứng dụng bất cứ khi nào có thể. Vai trò này bỏ qua các khai báo JWT tuỳ chỉnh. Chỉ sử dụng vai trò này trong các môi trường đáng tin cậy, chẳng hạn như máy chủ phụ trợ của bạn.

Người dùng Fleet Engine Driver SDK

roles/fleetengine.driverSdkUser

Cập nhật vị trí và tuyến đường của xe, đồng thời truy xuất thông tin về xe và chuyến đi. Sử dụng JWT có các khai báo tuỳ chỉnh được tạo bằng vai trò này để xác thực và uỷ quyền từ các ứng dụng dành cho tài xế cho dịch vụ đi chung xe hoặc giao hàng.

Người dùng Fleet Engine Consumer SDK

roles/fleetengine.consumerSdkUser

Tìm kiếm xe và truy xuất thông tin về xe cũng như chuyến đi. Sử dụng JWT có các khai báo tuỳ chỉnh được tạo bằng vai trò này cho các ứng dụng tiêu dùng để đi chung xe hoặc giao hàng .

Nhiệm vụ theo lịch

Vai trò Quyền

Quản trị viên dịch vụ Phân phối của Fleet Engine

roles/fleetengine.deliveryAdmin

Cấp quyền đọc, ghi và xoá đối với các tài nguyên giao hàng. Các thực thể có vai trò này không cần sử dụng JWT mà thay vào đó, nên sử dụng Thông tin xác thực mặc định của ứng dụng. Bỏ qua các xác nhận quyền sở hữu JWT tuỳ chỉnh. Hạn chế sử dụng vai trò này trong các môi trường đáng tin cậy, chẳng hạn như máy chủ phụ trợ của bạn.

Người đọc nhóm phân phối Fleet Engine

roles/fleetengine.deliveryFleetReader

Cấp quyền đọc các xe giao hàng và nhiệm vụ, cũng như tìm kiếm nhiệm vụ bằng mã theo dõi. Mã thông báo do tài khoản dịch vụ có vai trò này phát hành thường được dùng từ trình duyệt web của đơn vị vận hành đội xe giao hàng.

Fleet Engine Delivery Untrusted Driver User

roles/fleetengine.deliveryUntrustedDriver

Cấp quyền cập nhật vị trí của xe giao hàng. Mã thông báo do tài khoản dịch vụ có vai trò này phát hành thường được dùng trên thiết bị di động của người lái xe giao hàng.

Lưu ý: Không đáng tin cậy là chỉ thiết bị của tài xế không do bộ phận CNTT của công ty quản lý, mà do tài xế cung cấp và thường không có các biện pháp kiểm soát bảo mật CNTT thích hợp. Những tổ chức có chính sách Sử dụng thiết bị của riêng bạn nên chọn vai trò này để đảm bảo an toàn và chỉ dựa vào ứng dụng di động để gửi thông tin cập nhật vị trí xe cho Fleet Engine. Tất cả các lượt tương tác khác đều phải bắt nguồn từ máy chủ phụ trợ của bạn.

Người dùng tiêu dùng giao hàng động cơ đội tàu

roles/fleetengine.deliveryConsumer

Cấp quyền tìm kiếm việc cần làm bằng mã theo dõi, cũng như đọc nhưng không cập nhật thông tin về việc cần làm. Mã thông báo do tài khoản dịch vụ có vai trò này phát hành thường được sử dụng từ trình duyệt web của người tiêu dùng giao hàng.

Người dùng trình điều khiển đáng tin cậy của Fleet Engine Delivery

roles/fleetengine.deliveryTrustedDriver

Cấp quyền tạo và cập nhật xe giao hàng và việc cần làm, bao gồm cả việc cập nhật vị trí xe giao hàng và trạng thái hoặc kết quả của việc cần làm. Mã thông báo do tài khoản dịch vụ có vai trò này cấp thường được dùng trên thiết bị di động của người lái xe giao hàng hoặc trên máy chủ phụ trợ của bạn.

Lưu ý: Được tin cậy là thiết bị của tài xế do bộ phận CNTT của công ty quản lý và có các chế độ kiểm soát bảo mật thích hợp. Các tổ chức cung cấp những thiết bị này có thể chọn tích hợp tương tác của Fleet Engine vào ứng dụng di động.

Cách sử dụng vai trò IAM và tài khoản dịch vụ với Fleet Engine

Để sử dụng tài khoản dịch vụ cho hoạt động xác thực và uỷ quyền trong Fleet Engine, hãy làm theo các bước chung sau:

  1. Tạo tài khoản dịch vụ trong Bảng điều khiển Google Cloud cho từng vai trò bạn cần. Bạn cần tài khoản dịch vụ để xác thực tài xế, người tiêu dùng, ứng dụng giám sát đội xe và quản lý đội xe cũng như các trang web - bất kỳ phần mềm nào cần truy cập vào dữ liệu Fleet Engine. Phần mềm cần có cùng quyền có thể sử dụng cùng một tài khoản dịch vụ.

  2. Chỉ định vai trò chính sách IAM của Fleet Engine cho từng tài khoản dịch vụ. Chọn vai trò chính sách IAM dành riêng cho Fleet Engine để cấp các quyền thích hợp nhằm truy cập hoặc cập nhật dữ liệu của bạn trong Fleet Engine.

  3. Sử dụng tài khoản dịch vụ phù hợp trong ứng dụng và phần mềm của bạn để xác thực kết nối của chúng với Fleet Engine và cấp quyền truy cập vào các tài nguyên được cấp bởi vai trò được chỉ định.

Để biết thông tin chi tiết về cách các vai trò tài khoản dịch vụ phù hợp với tính năng bảo mật của Fleet Engine, hãy xem bài viết Tổng quan về bảo mật. Để biết giải thích đầy đủ về vai trò của tài khoản dịch vụ, hãy xem Tìm hiểu về vai trò IAM trong tài liệu Google Cloud.

Bước tiếp theo