Role konfiguracji uprawnień i konta usługi

Prawidłowe skonfigurowanie uprawnień jest niezbędne do zarządzania bezpieczeństwem i tożsamością w systemie Fleet Engine. Za pomocą ról uprawnień możesz dostosować dostęp do różnych operacji i danych, aby spełniać wymagania kierowców, klientów i operatorów floty.

Czym są konta usługi i role uprawnień?

Używając kont usługi skonfigurowanych w konsoli Google Cloud, możesz uwierzytelniać użytkowników i autoryzować dostęp do danych w Fleet Engine. Fleet Engine ma zestaw określonych z góry ról uprawnień, które przypisujesz do konta usługi w celu określenia, do których danych to konto ma dostęp. Szczegółowe informacje znajdziesz w artykule Omówienie kont usługi w dokumentacji Google Cloud.

Fleet Engine używa ról i zasad uprawnień do zarządzania autoryzacją metod i zasobów interfejsu Fleet Engine API. Więcej informacji znajdziesz w omówieniu ról w dokumentacji Google Cloud. Używaj tylko ról konta usługi Fleet Engine opisanych w poniższych sekcjach.

Więcej ogólnych informacji o przyznawaniu ról uprawnień znajdziesz w artykule Przyznawanie ról uprawnień za pomocą konsoli Google Cloud.

Role konta usługi Fleet Engine

Usługa mobilności wybrana do instalacji Fleet Engine określa role i uprawnienia, które są uwzględnione.

Te role pokazują, jak uprawnienia działają w przypadku ról w Fleet Engine:

  • Role ondemandAdmin i deliveryAdmin umożliwiają wykonywanie wszystkich operacji w Fleet Engine. Używaj tych ról tylko w zaufanych środowiskach, takich jak komunikacja między serwerem backendu a Fleet Engine.

  • Role driverSdkUser i consumerSdkUser mają tylko uprawnienia do uzyskiwania szczegółów przypisanych przejazdów oraz do aktualizowania lub otrzymywania lokalizacji pojazdu. Te typy ról są zwykle używane przez klientów w środowiskach o niskim poziomie zaufania, takich jak kierowca, konsument czy aplikacje monitorujące.

Role i uprawnienia przyznawane na potrzeby przejazdów na żądanie i zaplanowanych zadań są opisane w tabeli poniżej.

Przejazdy na żądanie

Rola Uprawnienie

Administrator Fleet Engine On-demand

roles/fleetengine.ondemandAdmin

Przyznaje uprawnienia do odczytu i zapisu we wszystkich zasobach związanych z pojazdami i podróżami. Podmioty zabezpieczeń z tą rolą nie muszą używać tokenów JWT i w miarę możliwości powinny używać domyślnych danych logowania aplikacji. Ta rola ignoruje niestandardowe oświadczenia JWT. Ogranicz używanie tej roli do zaufanych środowisk, takich jak serwer backendu.

Użytkownik pakietu sterowników SDK Fleet Engine

roles/fleetengine.driverSdkUser

aktualizować lokalizację pojazdów i tras oraz pobierać informacje o pojazdach i podróżach; Używaj tokenów JWT z niestandardowymi deklaracjami utworzonymi z tą rolą do uwierzytelniania i autoryzacji aplikacji kierowców na potrzeby wspólnych przejazdów lub dostawy.

Użytkownik pakietu konsumenckiego SDK Fleet Engine

roles/fleetengine.consumerSdkUser

Wyszukiwanie pojazdów oraz pobieranie informacji o pojazdach i podróżach. Używanie tokenów JWT z zasobami niestandardowymi utworzonymi za pomocą tej roli w przypadku aplikacji dla konsumentów służących do udostępniania przejazdów lub dostaw.

Zaplanowane zadania

Rola Uprawnienie

Administrator Fleet Engine Delivery

roles/fleetengine.deliveryAdmin

Przyznaje uprawnienia do odczytu i zapisu zasobów dostawy. Użytkownicy z tą rolą nie muszą używać JWT. Zamiast tego powinni używać domyślnych danych logowania aplikacji. Ignoruje niestandardowe żądania JWT. Ogranicz użycie tej roli do zaufanych środowisk, takich jak serwer backendu.

Fleet Engine Delivery Fleet Reader

roles/fleetengine.deliveryFleetReader

Przyznaje uprawnienia do odczytu danych o pojazdach dostawczych i zadaniach oraz do wyszukiwania zadań za pomocą identyfikatora śledzenia. Tokeny wystawione przez konto usługi z tą rolą są zwykle używane z przeglądarki operatora floty dostarczającej.

Użytkownik niezaufanego sterownika Fleet Engine Delivery

roles/fleetengine.deliveryUntrustedDriver

Przyznaje uprawnienia do aktualizowania lokalizacji pojazdu dostawczego. Tokeny wydawane przez konto usługi o tej roli są zwykle używane na urządzeniu mobilnym kierowcy dostawy.

Uwaga: niezaufane oznacza urządzenie sterownika, które nie jest zarządzane przez dział IT, ale jest udostępniane przez sterownik i zwykle bez odpowiednich opcji zabezpieczeń IT. Organizacje, które stosują zasady dotyczące własnych urządzeń, powinny zadbać o bezpieczeństwo tej roli i polegać tylko na aplikacji mobilnej do wysyłania aktualizacji lokalizacji pojazdu do Fleet Engine. Wszystkie inne interakcje powinny pochodzić z serwerów backendu.

Użytkownik indywidualny Fleet Engine Delivery

roles/fleetengine.deliveryConsumer

przyznaje uprawnienia do wyszukiwania zadań za pomocą identyfikatora śledzenia oraz do odczytywania informacji o zadaniach (nie można ich aktualizować). Tokeny wydawane przez konto usługi o tej roli są zwykle używane w przeglądarce konsumenta.

Użytkownik zaufanego sterownika Fleet Engine Delivery

roles/fleetengine.deliveryTrustedDriver

Przyznaje uprawnienia do tworzenia i aktualizowania pojazdów dostawczych oraz zadań, w tym do aktualizowania lokalizacji pojazdu dostawczego i stanu zadania lub jego wyniku. Tokeny wydawane przez konto usługi z tą rolą są zazwyczaj używane na urządzeniach mobilnych kuriera lub na serwerach backendu.

Uwaga: urządzenie zaufane to urządzenie kierowcy zarządzane przez dział IT firmy, który ma odpowiednie zabezpieczenia. Organizacje, które dostarczają te urządzenia, mogą zintegrować interakcje z Fleet Engine z aplikacją mobilną.

Jak używać ról uprawnień i kont usługi w Fleet Engine

Aby używać kont usługi do uwierzytelniania i autoryzacji w Fleet Engine, wykonaj te ogólne czynności:

  1. Utwórz w konsoli Google Cloud konta usługi dla każdej potrzebnej roli. Konta usługi są potrzebne do uwierzytelniania aplikacji i stron internetowych kierowców, klientów indywidualnych, monitorowania floty i zarządzania flotą – każdego oprogramowania, które potrzebuje dostępu do danych Fleet Engine. Oprogramowanie, które potrzebuje tych samych uprawnień, może korzystać z tego samego konta usługi.

  2. Przypisz do każdego konta usługi rolę uprawnień Fleet Engine. Wybierz rolę w ramach zasad dotyczących uprawnień dostępu do Fleet Engine, która zapewnia odpowiednie uprawnienia do uzyskiwania dostępu do danych w Fleet Engine i ich aktualizowania.

  3. Używaj odpowiednich kont usługi w aplikacjach i oprogramowaniu, aby uwierzytelnić ich połączenie z Fleet Engine i autoryzować dostęp do zasobów przyznanych przez przypisaną rolę.

Szczegółowe informacje o tym, jak role kont usługi pasują do zabezpieczeń Fleet Engine, znajdziesz w artykule Omówienie zabezpieczeń. Pełne omówienie ról kont usługi znajdziesz w dokumentacji Google Cloud Rola uprawnień.

Co dalej?