Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Émettre des jetons Web JSON

Ce document explique comment émettre des jetons Web JSON pour permettre à vos applications Web et mobiles d'accéder aux données Fleet Engine. Si vous ne l'avez pas déjà fait, lisez la section Jetons Web JSON sous Sécurité dans Fleet Engine. Avec le service Fleet Engine, vous pouvez émettre des jetons JWT de l'une des manières suivantes :

Utiliser la bibliothèque d'autorisation : Google vous recommande d'utiliser cette approche lorsque votre codebase est écrit en Java. Cette bibliothèque gère l'émission de jetons JWT pour tous les cas d'utilisation dont vous pourriez avoir besoin avec le service et simplifie considérablement votre implémentation.
Créer vos propres jetons JWT : si vous ne pouvez pas utiliser notre bibliothèque JWT, vous devrez les intégrer à votre propre codebase. Cette section fournit différents exemples de jetons JWT pour chaque scénario.

Fonctionnement des jetons JWT

Pour les environnements non approuvés, tels que les téléphones mobiles et les navigateurs Web, votre serveur backend émet des jetons JWT qui fonctionnent comme suit :

Votre code client s'exécutant dans un environnement à faible niveau de confiance appelle votre code serveur s'exécutant dans un environnement entièrement fiable pour demander le jeton JWT approprié à transmettre à Fleet Engine.
Les jetons JWT sont associés à des comptes de service. Par conséquent, les requêtes envoyées à Fleet Engine sont implicitement associées au compte de service qui a signé le jeton JWT.
Les revendications JWT limitent davantage les ressources sur lesquelles le client peut opérer, telles que des véhicules, des trajets ou des tâches spécifiques.

Utiliser la bibliothèque d'autorisation pour Java

Pour utiliser la bibliothèque d'autorisation Fleet Engine pour Java, consultez le dépôt GitHub. La bibliothèque simplifie la construction des jetons JWT Fleet Engine et les signe de manière sécurisée. Il fournit les éléments suivants :

Déclarations de dépendance du projet
Liste complète de tous les rôles de compte de service pour les trajets à la demande ou les tâches planifiées
Mécanismes de signature de jetons autres que l'utilisation de fichiers d'identifiants, tels que l'emprunt d'identité d'un compte de service
Associe des jetons signés aux requêtes sortantes effectuées à partir d'un bouchon gRPC ou d'une bibliothèque cliente Google API Codegen (GAPIC).
Instructions pour intégrer les signataires aux bibliothèques clientes Fleet Engine

Si vous émettez des jetons JWT à partir de votre code

Si vous ne pouvez pas utiliser la bibliothèque d'autorisation pour Java, vous devez implémenter les jetons JWT dans votre propre codebase. Cette section fournit quelques consignes pour créer vos propres jetons. Consultez Jetons Web JSON dans la section Sécurité dans Fleet Engine pour obtenir la liste des champs et des revendications JWT. Consultez Rôles des comptes de service pour connaître les rôles des comptes de service utilisés par Fleet Engine. Consultez la section suivante pour obtenir la liste d'exemples de jetons JWT pour les trajets à la demande ou les tâches planifiées.

Consignes générales

Utilisez des comptes de service et des rôles appropriés. Le compte de service et le rôle associé garantissent que l'utilisateur qui demande le jeton est autorisé à afficher les informations auxquelles le jeton lui donne accès. Plus précisément :
- Si vous signez un jeton JWT à transmettre à un appareil mobile, utilisez le compte de service pour le rôle du SDK Driver ou Consumer. Sinon, l'appareil mobile peut modifier des données auxquelles il ne devrait pas avoir accès et y accéder.
- Si vous signez le jeton JWT à utiliser pour les appels privilégiés, utilisez le compte de service avec le rôle d'administrateur Fleet Engine approprié lorsque vous utilisez les ADC ou les jetons JWT. Sinon, l'opération échoue.
Ne partagez que les jetons créés. Ne partagez jamais les identifiants utilisés pour créer les jetons.
Pour les appels gRPC, le mécanisme d'association du jeton dépend du langage et du framework utilisés pour effectuer l'appel. Le mécanisme permettant de spécifier un jeton pour un appel HTTP consiste à inclure un en-tête Authorization avec un jeton de support dont la valeur est le jeton.
Renvoyer un délai d'expiration Votre serveur doit renvoyer un délai d'expiration pour le jeton, généralement en secondes.
Si vous devez créer et signer un fichier JSON directement en tant que porteur de jeton, plutôt que d'utiliser des jetons d'accès OAuth 2.0, lisez les instructions pour l'autorisation de compte de service sans OAuth dans la documentation pour les développeurs Identity.

Pour les trajets à la demande

Lorsque vous créez la charge utile du jeton JWT, ajoutez une revendication supplémentaire dans la section d'autorisation avec la clé vehicleid ou tripid définie sur la valeur de l'ID du véhicule ou de l'ID du trajet pour lequel l'appel est effectué.

Pour les tâches planifiées

Lorsque votre serveur appelle d'autres API, les jetons doivent également contenir la revendication appropriée. Pour ce faire, vous pouvez procéder comme suit :
- Définissez la valeur de chaque clé sur *.
- Accordez à l'utilisateur l'accès à tous les taskids et deliveryvehicleids. Pour ce faire, vous devez ajouter une revendication supplémentaire dans la section d'autorisation avec les clés taskid et deliveryvehicleid.
- Lorsque vous utilisez l'astérisque (*) dans la revendication taskids, il doit s'agir du seul élément du tableau.

Exemples de jetons JWT pour les trajets à la demande

Cette section fournit des exemples de jetons JWT pour des scénarios courants si vous utilisez des trajets à la demande.

Exemple de jeton pour une opération d'application de conducteur

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "private_key_id_of_driver_service_account"
}
.
{
  "iss": "driver@yourgcpproject.iam.gserviceaccount.com",
  "sub": "driver@yourgcpproject.iam.gserviceaccount.com",
  "aud": "https://fleetengine.googleapis.com/",
  "iat": 1511900000,
  "exp": 1511903600,
  "authorization": {
     "vehicleid": "driver_12345"
   }
}

Exemple de jeton pour une opération d'application grand public

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "private_key_id_of_consumer_service_account"
}
.
{
  "iss": "consumer@yourgcpproject.iam.gserviceaccount.com",
  "sub": "consumer@yourgcpproject.iam.gserviceaccount.com",
  "aud": "https://fleetengine.googleapis.com/",
  "iat": 1511900000,
  "exp": 1511903600,
  "authorization": {
     "tripid": "trip_54321"
   }
}

Exemples de jetons JWT pour les tâches planifiées

Cette section fournit un exemple de jeton JWT pour des scénarios types si vous utilisez des tâches planifiées.

Exemple de jeton pour une application de conducteur

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_delivery_driver_service_account"
    }
    .
    {
      "iss": "driver@yourgcpproject.iam.gserviceaccount.com",
      "sub": "driver@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "deliveryvehicleid": "driver_12345"
       }
    }

Exemple de jeton pour une application grand public

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_delivery_consumer_service_account"
    }
    .
    {
      "iss": "consumer@yourgcpproject.iam.gserviceaccount.com",
      "sub": "consumer@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "trackingid": "shipment_12345"
       }
    }

Exemples de jetons JWT pour les opérations de parc

Cette section fournit un exemple de jeton JWT pour un scénario typique d'opérations de flotte.

Exemple de jeton pour suivre toutes les tâches et tous les véhicules d'un parc

L'exemple suivant est un jeton qui suit toutes les tâches et tous les véhicules de la flotte à partir d'une application Web utilisée par un opérateur. Les autorisations requises pour ces opérations sont plus importantes que pour les applications clientes. Consultez Configurer la bibliothèque de suivi de flotte JavaScript pour l'implémentation côté client qui utiliserait ce jeton :

Signez le jeton à l'aide du rôle Cloud IAM Fleet Engine Delivery Fleet Reader.

Remarque : Le jeton créé à l'aide de ce rôle accorde certaines autorisations aux entités Fleet Engine. Assurez-vous que votre backend ne partage le jeton qu'avec les utilisateurs authentifiés.

   {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_consumer_service_account"
    }
    .
    {
      "iss": "superuser@yourgcpproject.iam.gserviceaccount.com",
      "sub": "superuser@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "scope": "https://www.googleapis.com/auth/xapi",
      "authorization": {
         "taskid": "*",
         "deliveryvehicleid": "*",
       }
    }

Autre méthode d'authentification pour les opérations du serveur backend

Google vous recommande d'utiliser les ADC pour authentifier les opérations du serveur backend. Si vous ne pouvez pas utiliser l'ADC et que vous devez utiliser des jetons JWT, consultez ces exemples.

Exemple de jeton pour une opération de serveur backend à la demande

  {
    "alg": "RS256",
    "typ": "JWT",
    "kid": "private_key_id_of_provider_service_account"
  }

  {
    "iss": "provider@yourgcpproject.iam.gserviceaccount.com",
    "sub": "provider@yourgcpproject.iam.gserviceaccount.com",
    "aud": "https://fleetengine.googleapis.com/",
    "iat": 1511900000,
    "exp": 1511903600,
    "authorization": {
       "vehicleid": "*",
       "tripid": "*"
     }
  }

Exemple de jeton pour une opération de serveur backend planifiée

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_provider_service_account"
    }
    .
    {
      "iss": "provider@yourgcpproject.iam.gserviceaccount.com",
      "sub": "provider@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "taskid": "*"
       }
    }

Exemple de jeton pour une opération de création de tâches par lot sur un serveur backend planifié

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_provider_service_account"
    }
    .
    {
      "iss": "provider@yourgcpproject.iam.gserviceaccount.com",
      "sub": "provider@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "taskids": ["*"]
       }
    }

Exemple de jeton pour une opération planifiée par véhicule de livraison sur un serveur backend

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_provider_service_account"
    }
    .
    {
      "iss": "provider@yourgcpproject.iam.gserviceaccount.com",
      "sub": "provider@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "deliveryvehicleid": "*"
       }
    }

Étape suivante

Vérifiez votre configuration pour pouvoir créer un véhicule d'essai et vous assurer que vos jetons fonctionnent comme prévu.
Pour en savoir plus sur l'utilisation des ADC au lieu des jetons JWT pour les opérations du serveur backend, consultez la présentation de la sécurité.