セキュリティの概要

このドキュメントでは、Fleet Engine システムの 3 つの主要な環境（バックエンドサーバー、Fleet Engine サーバー、クライアントアプリケーションとウェブサイト）間の情報交換を Fleet Engine がどのように保護しているかについて説明します。

Fleet Engine は、最小権限の原則を使用して、次の 2 つの方法でセキュリティを管理します。

アプリケーションのデフォルト認証情報（ADC）: サーバー間通信などの高権限環境で使用します。バックエンドサーバーが車両と乗車を作成し、Fleet Engine で管理する場合に使用します。詳細については、アプリケーションのデフォルト認証情報をご覧ください。

**注:** サーバー間通信に JWT を使用することもできますが、Google では ADC を使用することをおすすめします。
JSON ウェブトークン（JWT）: スマートフォンやブラウザで実行されるクライアントアプリケーションなどの信頼度の低い環境で使用します。Fleet Engine で車両の位置情報を更新するなど、権限の低いオペレーションを実行するために使用します。

信頼度の低い環境に必要な JWT は、サービスアカウントのシークレットキーを保護するためにバックエンドサーバーによって生成および発行され、Fleet Engine 固有の追加のクレームが含まれます。詳細については、JSON Web トークンをご覧ください。

たとえば、ドライバーアプリがある場合、ドライバーはアプリを介して Fleet Engine のデータにアクセスします。アプリは、バックエンドサーバーから取得した JWT を使用して認証されます。含まれている JWT クレームは、サービスアカウントのロールとともに、ドライバーアプリがアクセスできるシステムの部分と実行できる操作を決定します。このアプローチでは、運転業務を完了するために必要なデータのみにアクセスが制限されます。

Fleet Engine は、これらのセキュリティアプローチを使用して、次の機能を提供します。

認証では、リクエストを行うエンティティの ID を確認します。Fleet Engine は、信頼度の高い環境には ADC を使用し、信頼度の低い環境には JWT を使用します。
認可では、認証されたエンティティがアクセスできるリソースを指定します。Fleet Engine は、Google Cloud IAM ロールを持つサービスアカウントと、認証されたエンティティがリクエストしているデータを表示または変更する権限を持つことを保証する JWT クレームを使用します。

サーバーとクライアントのセキュリティ設定

Fleet Engine でセキュリティを有効にするには、バックエンドサーバーとクライアントアプリケーションおよびウェブサイトに必要なアカウントとセキュリティを設定します。

次の図は、バックエンドサーバーとクライアントアプリケーションでセキュリティを設定する手順の概要を示しています。

サーバーアプリとクライアントアプリの認証の設定時のセキュリティフローの図

詳しくは、以降のセクションをご覧ください。

バックエンドサーバーのセキュリティ設定

フリート管理者は、次の手順を行う必要があります。

サービスアカウントを作成して構成する:
1. Google Cloud コンソールでサービスアカウントを作成します。
2. サービスアカウントに特定の IAM ロールを割り当てます。
3. 作成したサービスアカウントを使用してバックエンドサーバーを構成します。詳細については、サービスアカウントのロールをご覧ください。
Fleet Engine との安全な通信を構成する（ADC）: 適切な *管理者サービスアカウントのアプリケーションのデフォルト認証情報を使用して、Fleet Engine インスタンスと通信するようにバックエンドを構成します。詳細については、アプリケーションのデフォルト認証情報をご覧ください。
クライアントアプリとの安全な通信を構成する（JWT）: クライアントアプリケーションとモニタリングウェブサイトに適したクレームを含む JWT を作成する JSON ウェブトークンジェネレータを作成します。詳細については、 JSON ウェブトークンを発行するをご覧ください。

アプリケーションのセキュリティ設定

アプリケーションデベロッパーは、バックエンドサーバーで生成された JSON ウェブトークンをクライアントアプリまたはウェブサイトで取得し、それを使用して Fleet Engine と安全に通信する方法を含める必要があります。詳細については、必要なアプリケーションのドライバーエクスペリエンスまたはコンシューマーエクスペリエンスのドキュメントの設定手順をご覧ください。

サーバーとクライアントアプリのセキュリティフロー

次のシーケンス図は、バックエンドサーバーで ADC を使用し、クライアントアプリケーションとウェブサイトで JWT を使用する Fleet Engine を使用した、サーバーとクライアントアプリの認証と認可のフローを示しています。

サーバーとクライアントアプリの認証におけるオペレーション中のセキュリティフローの図

バックエンドサーバーが Fleet Engine で車両と乗車またはタスクを作成します 。
バックエンドサーバーが乗車またはタスクを車両に割り当てます: ドライバーアプリがアクティブな場合、割り当てを取得します。
バックエンドサーバー: 割り当てられたタスクまたは乗車に適した IAM ロールを使用して、それぞれのサービスアカウントの JWT に署名して発行します。
クライアントアプリ: クライアントアプリは、受信した JWT を使用して、車両の位置情報の更新を Fleet Engine に送信します。

次のステップ

Fleet Engine プロジェクトを作成する。
サーバーから JSON ウェブトークンを発行する方法を確認する。
サービスアカウントのロールの詳細を確認する。
JWT の詳細を確認する。