サービス アカウントのロール

サービス アカウント ロールは、サービス アカウント キーのセキュリティと ID の重要な管理を さまざまなオペレーションや表示方法を ドライバー、消費者、フリート オペレーターに提供します。

サービス アカウントとは

クライアント アプリケーションによる Fleet Engine 内のデータへのアクセスを管理するには、 サービス アカウントを提供します。このアカウントは、サービス アカウントによって ロールを使用するよりも、 ID メカニズムを使用します。システムのデータにアクセスするユーザーは、 これにより、この権限は、このアカウント ロールを使用する 特定の目的に適切と判断される部分を排除します。このタイプの スコープの制限は、最小権限の原則 ユーザーに付与します。

サービス アカウントのロールの詳細については、 Google Cloud ドキュメントの IAM ロールについて。

サービス アカウントのロールは Fleet Engine でどのように機能しますか？

  • IAM ロールは、特定のリソースに対して許可される一連の あります。たとえば、管理者のロールでは、 アプリケーションのデフォルト認証情報。信頼できないドライバのロールは 車両の位置情報の更新が許可されています。また、JWT の使用のみが許可されています。 認証と認可の 2 つがあります。

  • スマートフォンやウェブブラウザなどの信頼できない環境の場合は、JWT 申請を行うエンティティのみに、追加の制限を適用する 操作できる可能性があります。たとえば、特定の車両、ルート、タスクなどです。

  • 信頼性の低い環境で実行するコードは、最初にコードを呼び出す必要がある JWT を発行する信頼できる環境で実行しているとき。

  • Fleet Engine は、サービスの API 呼び出しに対して次のセキュリティ チェックを実行します。 resource:

    1. 呼び出し元プリンシパルに（ロールを通じて）適切な権限が付与されている 割り当てなど）。

    2. 管理者以外のロールの場合、リクエストで渡される JWT クレームに 許可する必要があります。

詳細については、JSON Web Token をご覧ください。

Fleet Engine サービス アカウントのロール

Fleet Engine のインストールでは、選択したモビリティ サービスに基づいて ロールと権限を宣言します。

オンデマンドの賃走

ロール 権限

Fleet Engine On-demand 管理者

roles/fleetengine.ondemandAdmin

すべての車両とルートに対する読み取りと書き込みの権限を付与します 説明します。このロールを持つプリンシパルは JWT を使用する必要はありません。また、 アプリケーションのデフォルト認証情報を使用してください。カスタム設定を無視 JWT クレーム。このロールは、信頼できる環境に限定する必要があります 独自のサーバーなどに アタッチします

一部の Fleet Engine ユーザーには、 フリート エンジン サービス スーパー ユーザーのロールですが、これは非推奨になりました。

Fleet Engine Driver SDK ユーザー

roles/fleetengine.driverSdkUser

車両の位置とルートを更新し、情報を取得する 分析できますトークンは通常、ライドシェアリングで使用されています ドライバー向けアプリです

Fleet Engine Consumer SDK ユーザー

roles/fleetengine.consumerSdkUser

車両を検索し、車両に関する情報を取得します 収集します。トークンは通常、ライドシェアリングや配達で利用される 一般ユーザー向けアプリ

スケジュール設定されたタスク

ロール 権限

Fleet Engine Delivery 管理者

roles/fleetengine.deliveryAdmin

配信リソースに対する読み取り / 書き込み権限を付与します。 このロールを持つプリンシパルは JWT を使用する必要がないため、代わりに JWT を使用する必要があります アプリケーションのデフォルト認証情報。カスタム JWT クレームは無視されます。この などの信頼できる環境のみに制限すべきです。 独自のサーバーを作成できます

Fleet Engine Delivery フリート リーダー

roles/fleetengine.deliveryFleetReader

配達車両とタスクの読み取り、および トラッキング ID を使ってタスクを検索できます。サービス アカウントによって発行されたトークン このロールは、通常は配達フリート オペレーターのウェブ デバイスから できます。

Fleet Engine Delivery の信頼されていないドライバ ユーザー

roles/fleetengine.deliveryUntrustedDriver

配達車両の位置情報を更新する権限を付与します。トークン サービス アカウントによって発行されたこのロールは、通常は 配送ドライバーのモバイルデバイスで

注: 信頼できないとは、 会社の IT 部門に管理されずに、管理者の権限を ドライバーから通知されるもので、通常は適切な IT セキュリティがない できます。BYOD（Bring Your Own Device）ポリシーを使用している組織では、 安全を確保したうえで、モバイルアプリによる 車両位置情報の更新を Fleet Engine に 送信しましたその他すべてのインタラクション バックエンドサーバーからの インスタンスが選択されます

Fleet Engine Delivery の一般ユーザー

roles/fleetengine.deliveryConsumer

トラッキング ID を使用してタスクを検索する権限を付与します。また、 タスク情報を読み取り、更新することはできません。サービスによって発行されたトークン このロールを持つアカウントは通常、デリバリー コンシューマの アクセスできます。

Fleet Engine Delivery の信頼されているドライバ ユーザー

roles/fleetengine.deliveryTrustedDriver

配達車両を作成および更新する権限を付与します 配送車両の位置情報やタスク ステータスの更新を含む 決定できますこのロールを持つサービス アカウントによって発行されたトークンは、 配達ドライバーのモバイル デバイスから使用したり、 バックエンドサーバーと通信します

注: 信頼済みとは、管理者によって管理されているドライバーのデバイスのことを指します。 適切なセキュリティ管理を行っている企業の IT 担当者。組織が これらのデバイスで Fleet Engine インタラクションの統合を モバイルアプリに統合します

次のステップ

  • Fleet Engine での使用については、JSON Web Token をご覧ください。