Se usó la API de Cloud Translation para traducir esta página.

Emitir tokens web JSON

En este documento, se explica cómo emitir tokens web JSON como parte de la habilitación del acceso de tus apps web y para dispositivos móviles a los datos de Fleet Engine. Si aún no lo hiciste, lee Tokens web JSON en la sección Seguridad en Fleet Engine. Con el servicio de Fleet Engine, puedes emitir JWT en una de las de la siguiente manera:

Usa la biblioteca de autorización: Google recomienda usar este enfoque cuando tu base de código está escrita en Java. Esta biblioteca controla la emisión de JWT para a todas las situaciones de casos de uso que puedas necesitar con el servicio simplifica tu implementación.
Crear tus propios JWT: si no puedes usar nuestra biblioteca de JWT, deberás compilarlas en tu propia base de código. En esta sección, se proporcionan los diversos ejemplos de JWT para cada situación.

Cómo funcionan los JWT

Para entornos no confiables, como teléfonos celulares y navegadores web, tu backend el servidor emite JWT que funcionan de la siguiente manera:

Tu código cliente que se ejecuta en un entorno de confianza baja llama a tu código de servidor que se ejecuta en un entorno de confianza total para solicitar el JWT adecuado que se pasará a Fleet Engine.
Los JWT están asociados con las cuentas de servicio, por lo que las solicitudes enviadas a Fleet Engine están asociadas implícitamente con la cuenta de servicio que firmó el JWT.
Las reclamaciones de JWT restringen aún más los recursos en los que puede operar el cliente como vehículos, tareas o viajes específicos.

Cómo usar la biblioteca de autorización para Java

Si deseas usar la biblioteca de autorización de Fleet Engine para Java, visita la página de GitHub Cloud Storage. La biblioteca simplifica la construcción de Fleet Engine los JWT y firmarlos de forma segura. Proporciona lo siguiente:

Declaraciones de dependencia del proyecto
Una lista completa de todos los roles de cuenta de servicio para viajes a pedido o tareas programadas
Mecanismos de firma de tokens distintos al uso de archivos de credenciales, como identidad de una cuenta de servicio
Adjunta tokens firmados a las solicitudes salientes que se realizan desde un stub de gRPC o una biblioteca cliente de Google API Codegen (GAPIC).
Instrucciones para integrar a los firmantes en las bibliotecas cliente de Fleet Engine

Si emites JWT desde tu código

Si no puedes usar la biblioteca de autorización para Java, debes implementar los JWT en tu propia base de código. En esta sección, se proporcionan algunos lineamientos para crear tus propios tokens. Consulta Tokens web JSON en la sección Seguridad en Fleet Engine para obtener una lista de campos y reclamos de JWT. Consulta Cuenta de servicio roles para los roles de la cuenta de servicio que usa Fleet Engine. Consulta la siguiente sección para ver una lista de ejemplos de JWT para viajes a pedido o tareas programadas.

Lineamientos generales

Usa cuentas de servicio y roles adecuados. La cuenta de servicio y rol asociado garantiza que el usuario que solicita el token tenga autorización para y ver la información a la que el token le otorga acceso. En particular, haz lo siguiente:
- Si firmas un JWT para pasar a un dispositivo móvil, usa el servicio cuenta para el rol de controlador o SDK de consumidor. De lo contrario, el vínculo que el dispositivo pueda modificar y acceder a datos a los que no debería tener acceso.
- Si firmas el JWT que se usará para llamadas con privilegios, usa el con el rol de Administrador de Fleet Engine correcto cuando se usan ADC o JWT. De lo contrario, la operación falla.
Solo comparte los tokens creados. Nunca compartas las credenciales que se usaron para crear los tokens.
Para las llamadas de gRPC, el mecanismo para adjuntar el token depende del y el framework que se usaron para realizar la llamada. El mecanismo para especificar un token en una llamada HTTP es incluir un encabezado Authorization con un token portador cuyo valor es el token.
Devuelve una hora de vencimiento. Tu servidor debe mostrar una hora de vencimiento para el token, generalmente en segundos.
Si necesitas crear y firmar un JSON directamente como portador del token, en lugar en lugar de usar tokens de acceso de OAuth 2.0, lee las instrucciones para Service autorización de la cuenta sin OAuth en la sección Documentación para desarrolladores

Para viajes on demand

Cuando crees la carga útil de JWT, agrega una reclamación adicional en la autorización con la clave vehicleid o tripid establecida en el valor del vehículo Es el ID de viaje o el ID de viaje para el que se realiza la llamada.

Para tareas programadas

Cuando tu servidor llama a otras APIs, los tokens también deben contener el el reclamo correspondiente. Para ello, puedes hacer lo siguiente:
- Establece el valor de cada clave en *.
- Otorga al usuario acceso a todos los taskids y deliveryvehicleids. Para ello, agrega un reclamo adicional en la sección de autorización con las claves taskid y deliveryvehicleid.
- Cuando usas el asterisco (*) en la declaración taskids, debe ser el único elemento del array.

Ejemplos de JWT para viajes a pedido

En esta sección, se proporcionan ejemplos de JWT para situaciones comunes si usas viajes a pedido.

Token de ejemplo para una operación de app del controlador

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "private_key_id_of_driver_service_account"
}
.
{
  "iss": "driver@yourgcpproject.iam.gserviceaccount.com",
  "sub": "driver@yourgcpproject.iam.gserviceaccount.com",
  "aud": "https://fleetengine.googleapis.com/",
  "iat": 1511900000,
  "exp": 1511903600,
  "authorization": {
     "vehicleid": "driver_12345"
   }
}

Ejemplo de token para una operación de app de consumidor

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "private_key_id_of_consumer_service_account"
}
.
{
  "iss": "consumer@yourgcpproject.iam.gserviceaccount.com",
  "sub": "consumer@yourgcpproject.iam.gserviceaccount.com",
  "aud": "https://fleetengine.googleapis.com/",
  "iat": 1511900000,
  "exp": 1511903600,
  "authorization": {
     "tripid": "trip_54321"
   }
}

Ejemplos de JWT para tareas programadas

Esta sección ofrece un ejemplo de JWT en situaciones típicas si usas un tareas.

Ejemplo de token para una app de conductor

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_delivery_driver_service_account"
    }
    .
    {
      "iss": "driver@yourgcpproject.iam.gserviceaccount.com",
      "sub": "driver@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "deliveryvehicleid": "driver_12345"
       }
    }

Ejemplo de token para una app para consumidores

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_delivery_consumer_service_account"
    }
    .
    {
      "iss": "consumer@yourgcpproject.iam.gserviceaccount.com",
      "sub": "consumer@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "trackingid": "shipment_12345"
       }
    }

Ejemplos de JWT para operaciones de flota

En esta sección, se proporciona un ejemplo de JWT para una situación típica en las operaciones de flota.

Token de ejemplo para hacer un seguimiento de todas las tareas y los vehículos de una flota

El siguiente ejemplo es un token que realiza un seguimiento de todas las tareas y los vehículos de la flota desde una app basada en la Web que usa un operador. Los permisos necesarios en estas operaciones es mayor que en las aplicaciones cliente. Consulta Configura la biblioteca de seguimiento de la flota de JavaScript del cliente implementación que usaría este token:

Firma el token con el rol de IAM de Cloud Fleet Engine Delivery Fleet Reader.

Nota: El token creado con este rol otorga algunos permisos a la flota. de Compute Engine. Asegúrate de que tu backend solo comparta el token con usuarios autenticados.

   {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_consumer_service_account"
    }
    .
    {
      "iss": "superuser@yourgcpproject.iam.gserviceaccount.com",
      "sub": "superuser@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "scope": "https://www.googleapis.com/auth/xapi",
      "authorization": {
         "taskid": "*",
         "deliveryvehicleid": "*",
       }
    }

Método de autenticación alternativo para las operaciones del servidor de backend

Google recomienda que uses la ADC para autenticar las operaciones del servidor de backend. Si no puedes usar ADC y necesitas usar JWT, consulta estos ejemplos.

Token de ejemplo para una operación de servidor de backend a pedido

  {
    "alg": "RS256",
    "typ": "JWT",
    "kid": "private_key_id_of_provider_service_account"
  }

  {
    "iss": "provider@yourgcpproject.iam.gserviceaccount.com",
    "sub": "provider@yourgcpproject.iam.gserviceaccount.com",
    "aud": "https://fleetengine.googleapis.com/",
    "iat": 1511900000,
    "exp": 1511903600,
    "authorization": {
       "vehicleid": "*",
       "tripid": "*"
     }
  }

Token de ejemplo para una operación programada de servidor de backend

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_provider_service_account"
    }
    .
    {
      "iss": "provider@yourgcpproject.iam.gserviceaccount.com",
      "sub": "provider@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "taskid": "*"
       }
    }

Ejemplo de token para una operación de creación de tareas por lotes de un servidor de backend programada

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_provider_service_account"
    }
    .
    {
      "iss": "provider@yourgcpproject.iam.gserviceaccount.com",
      "sub": "provider@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "taskids": ["*"]
       }
    }

Token de ejemplo para un servidor de backend programado por operación de vehículo de entrega

    {
      "alg": "RS256",
      "typ": "JWT",
      "kid": "private_key_id_of_provider_service_account"
    }
    .
    {
      "iss": "provider@yourgcpproject.iam.gserviceaccount.com",
      "sub": "provider@yourgcpproject.iam.gserviceaccount.com",
      "aud": "https://fleetengine.googleapis.com/",
      "iat": 1511900000,
      "exp": 1511903600,
      "authorization": {
         "deliveryvehicleid": "*"
       }
    }

¿Qué sigue?

Verifica tu configuración para crear un vehículo de prueba y asegurarte de que que los tokens funcionen según lo previsto
Para obtener información sobre el uso de ADC en lugar de JWT para operaciones de servidor backend, consulta la Descripción general de seguridad.