Role konfiguracji uprawnień i konta usługi

Prawidłowe skonfigurowanie uprawnień jest niezbędne do zarządzania bezpieczeństwem i tożsamością w systemie Fleet Engine. Za pomocą ról uprawnień możesz dostosować dostęp do różnych operacji i danych, aby spełniać wymagania kierowców, klientów i operatorów floty.

Czym są konta usługi i role uprawnień?

Używając kont usługi skonfigurowanych w konsoli Google Cloud, możesz uwierzytelniać użytkowników i autoryzować dostęp do danych w Fleet Engine. Fleet Engine ma zestaw z góry określonych ról uprawnień, które przypisujesz do konta usługi, aby określić, do których danych ma ono dostęp. Szczegółowe informacje znajdziesz w artykule Omówienie kont usługi w dokumentacji Google Cloud.

Fleet Engine używa ról i zasad uprawnień do zarządzania autoryzacją metod i zasobów interfejsu Fleet Engine API. Więcej informacji znajdziesz w omówieniu ról w dokumentacji Google Cloud. Używaj tylko tych ról na koncie usługi Fleet Engine, które są opisane w następnych sekcjach.

Więcej ogólnych informacji o przyznawaniu ról uprawnień znajdziesz w artykule Przyznawanie ról uprawnień za pomocą konsoli Google Cloud.

Role konta usługi Fleet Engine

Usługa mobilności wybrana do instalacji Fleet Engine określa role i uprawnienia.

Te role pokazują, jak uprawnienia działają w przypadku ról w Fleet Engine:

  • Role ondemandAdmin i deliveryAdmin umożliwiają wykonywanie wszystkich operacji w Fleet Engine. Używaj tych ról tylko w zaufanych środowiskach, takich jak komunikacja między serwerem backendu a Fleet Engine.

  • Role driverSdkUser i consumerSdkUser mają tylko uprawnienia do uzyskiwania szczegółów przypisanych przejazdów oraz do aktualizowania lub otrzymywania lokalizacji pojazdu. Te typy ról są zwykle używane przez klientów w środowiskach o niskim poziomie zaufania, takich jak kierowca, konsument czy aplikacje monitorujące.

Role i uprawnienia przyznawane na potrzeby przejazdów na żądanie i zaplanowanych zadań są opisane w tabeli poniżej.

Przejazdy na żądanie

Rola Uprawnienie

Administrator Fleet Engine On-demand

roles/fleetengine.ondemandAdmin

Przyznaje uprawnienia do odczytu, zapisu i usuwania wszystkich zasobów pojazdów i podróży. Podmioty z tą rolą nie muszą używać JWT i zamiast tego powinny w miarę możliwości korzystać z domyślnych danych logowania aplikacji. Ta rola ignoruje niestandardowe oświadczenia JWT. Ogranicz używanie tej roli do zaufanych środowisk, takich jak serwer backendu.

Użytkownik pakietu sterowników SDK Fleet Engine

roles/fleetengine.driverSdkUser

aktualizować lokalizację pojazdów i tras oraz pobierać informacje o pojazdach i podróżach; Używaj tokenów JWT z założeniami niestandardowymi utworzonymi za pomocą tej roli do uwierzytelniania i autoryzacji aplikacji kierowcy w przypadku współdzielenia przejazdów lub dostaw.

Użytkownik pakietu konsumenckiego SDK Fleet Engine

roles/fleetengine.consumerSdkUser

wyszukiwać pojazdów oraz uzyskiwać informacje o pojazdach i przejazdach; Używanie tokenów JWT z zasobami niestandardowymi utworzonymi za pomocą tej roli w przypadku aplikacji dla konsumentów służących do udostępniania przejazdów lub dostaw .

Zaplanowane zadania

Rola Uprawnienie

Administrator Fleet Engine Delivery

roles/fleetengine.deliveryAdmin

Przypisuje uprawnienia do odczytu, zapisu i usuwania zasobów dostawy. Użytkownicy z tą rolą nie muszą używać JWT, a zamiast tego powinni używać domyślnych danych logowania aplikacji. Ignoruje niestandardowe oświadczenia JWT. Ogranicz użycie tej roli do zaufanych środowisk, takich jak serwer backendu.

Fleet Engine Delivery Fleet Reader

roles/fleetengine.deliveryFleetReader

Przyznaje uprawnienia do odczytu danych o pojazdach dostawczych i zadaniach oraz do wyszukiwania zadań za pomocą identyfikatora śledzenia. Tokeny wydawane przez konto usługi z tą rolą są zwykle używane w przeglądarce operatora floty dostaw.

Użytkownik niezaufanego sterownika Fleet Engine Delivery

roles/fleetengine.deliveryUntrustedDriver

Przyznawanie uprawnień do aktualizowania lokalizacji pojazdu dostawczego. Tokeny wydawane przez konto usługi o tej roli są zwykle używane na urządzeniu mobilnym kierowcy dostawy.

Uwaga: „Niezaufanym” jest urządzenie kierowcy, które nie jest zarządzane przez dział IT firmy, ale jest dostarczane przez kierowcę i zazwyczaj nie ma odpowiednich zabezpieczeń IT. Organizacje, które stosują zasady dotyczące własnych urządzeń, powinny zadbać o bezpieczeństwo tej roli i polegać tylko na aplikacji mobilnej do wysyłania aktualizacji lokalizacji pojazdu do Fleet Engine. Wszystkie inne interakcje powinny pochodzić z serwerów backendowych.

Użytkownik indywidualny Fleet Engine Delivery

roles/fleetengine.deliveryConsumer

przyznaje uprawnienia do wyszukiwania zadań za pomocą identyfikatora śledzenia oraz do odczytywania informacji o zadaniach (bez możliwości ich aktualizowania). Tokeny wydawane przez konto usługi o tej roli są zwykle używane w przeglądarce konsumenta usługi.

Użytkownik zaufanego sterownika Fleet Engine Delivery

roles/fleetengine.deliveryTrustedDriver

Przyznaje uprawnienia do tworzenia i aktualizowania pojazdów dostawczych oraz zadań, w tym do aktualizowania lokalizacji pojazdu dostawczego i stanu zadania lub jego wyniku. Tokeny wydawane przez konto usługi z tą rolą są zazwyczaj używane na urządzeniach mobilnych kuriera lub na serwerach backendu.

Uwaga: urządzenie zaufane to urządzenie kierowcy zarządzane przez dział IT firmy, który ma odpowiednie zabezpieczenia. Organizacje, które dostarczają te urządzenia, mogą zintegrować interakcje z Fleet Engine z aplikacją mobilną.

Jak używać ról uprawnień i kont usługi w Fleet Engine

Aby używać kont usługi do uwierzytelniania i autoryzacji w Fleet Engine, wykonaj te ogólne czynności:

  1. W konsoli Google Cloud utwórz konta usługi dla każdej roli, której potrzebujesz. Konta usługi są potrzebne do uwierzytelniania kierowców, klientów, aplikacji i witryn internetowych do monitorowania i zarządzania flotą oraz wszelkich programów, które wymagają dostępu do danych Fleet Engine. Oprogramowanie, które potrzebuje tych samych uprawnień, może korzystać z tego samego konta usługi.

  2. Przypisz do każdego konta usługi rolę w zasadach uprawnień Fleet Engine. Wybierz rolę w ramach zasad dotyczących uprawnień dostępu do Fleet Engine, która zapewnia odpowiednie uprawnienia do uzyskiwania dostępu do danych w Fleet Engine i ich aktualizowania.

  3. Używaj odpowiednich kont usługi w aplikacjach i oprogramowaniu, aby uwierzytelniać połączenie z Fleet Engine i autoryzować dostęp do zasobów przyznanych przez przypisaną rolę.

Szczegółowe informacje o tym, jak role kont usługi pasują do zabezpieczeń Fleet Engine, znajdziesz w artykule Omówienie zabezpieczeń. Pełne omówienie ról kont usługi znajdziesz w dokumentacji Google Cloud Rola uprawnień.

Co dalej?