Ruoli dell'account di servizio

I ruoli degli account di servizio costituiscono una sicurezza chiave e una gestione delle identità e ti consentono di personalizzare diverse operazioni e diversi per conducenti, consumatori e operatori del parco risorse.

Che cos'è un account di servizio?

Per gestire l'accesso ai tuoi dati in Fleet Engine per le applicazioni client, forniscono account di servizio, che autenticano l'attività software da parte di ruolo predeterminato anziché autenticare gli utenti tramite un meccanismo di identità. Gli utenti che accedono ai dati dal tuo sistema lo fanno tramite una che utilizza questo ruolo dell'account, limitando l'autorizzazione solo a coloro parti del sistema ritenute appropriate per uno scopo specifico. Questo tipo di di limitazione di ambito si basa sul concetto del principio del di accesso.

Per una spiegazione completa dei ruoli degli account di servizio, consulta Informazioni sui ruoli IAM nella documentazione di Google Cloud.

Come funzionano i ruoli degli account di servizio con Fleet Engine?

  • I ruoli IAM definiscono un insieme di autorizzazioni sulle risorse consentite per principale. Ad esempio, i ruoli Amministratore possono eseguire tutte le operazioni con credenziali predefinite dell'applicazione, mentre il ruolo Driver non attendibile è possono aggiornare la posizione del veicolo ed è limitato all'utilizzo di JWT per l'autenticazione e l'autorizzazione.

  • Per ambienti non attendibili, come cellulari e browser web, JWT le rivendicazioni prevedono ulteriori restrizioni solo per le persone giuridiche che su cui il chiamante può operare. Possono essere per veicoli, viaggi o attività specifici.

  • Il codice in esecuzione in un ambiente con attendibilità scarsa deve prima richiamare il codice eseguito in un ambiente attendibile, che emette il JWT.

  • Fleet Engine esegue i seguenti controlli di sicurezza sulle chiamate API per risorsa:

    1. L'entità chiamante dispone delle autorizzazioni appropriate (tramite il ruolo ) per l'azione sulla risorsa.

    2. Per i ruoli non amministratore, le attestazioni JWT trasmesse nella richiesta forniscono il valore-chiave l'autorizzazione necessaria per la risorsa.

Per maggiori informazioni, consulta la pagina Token web JSON.

Ruoli dell'account di servizio Fleet Engine

In base al servizio di mobilità scelto, l'installazione di Fleet Engine utilizza i ruoli e le autorizzazioni descritti di seguito.

Viaggi on demand

Ruolo Autorizzazione

Amministratore on demand di Fleet Engine

roles/fleetengine.ondemandAdmin

Concede l'autorizzazione di lettura e scrittura per tutti i veicoli e le corse Google Cloud. Le entità con questo ruolo non hanno bisogno di usare JWT e deve usare Credenziali predefinite dell'applicazione. Ignora personalizzata rivendicazioni JWT. Questo ruolo deve essere limitato agli ambienti attendibili come il tuo server.

Alcuni utenti di Fleet Engine potrebbero ancora il ruolo Super user servizio Fleet Engine, ma ora è deprecato.

Fleet Engine Driver SDK User

roles/fleetengine.driverSdkUser

Aggiorna le posizioni e i percorsi dei veicoli e recupera informazioni su veicoli e viaggi. I token vengono in genere utilizzati dal ridesharing o le app di fattorini.

Fleet Engine Consumer SDK User

roles/fleetengine.consumerSdkUser

Cerca veicoli e recupera informazioni sui veicoli e viaggi. I token vengono in genere utilizzati dal ridesharing o dalla consegna le app consumer.

Attività pianificate

Ruolo Autorizzazione

Fleet Engine Delivery Admin

roles/fleetengine.deliveryAdmin

Concede l'autorizzazione di lettura e scrittura per le risorse di pubblicazione. Le entità con questo ruolo non hanno bisogno di utilizzare JWT e devono invece usare Credenziali predefinite dell'applicazione. Le rivendicazioni JWT personalizzate vengono ignorate. Questo dovrebbe essere limitato ad ambienti attendibili come il tuo e i propri server.

Lettore parco risorse distribuzione Fleet Engine

roles/fleetengine.deliveryFleetReader

Concede l'autorizzazione per leggere i veicoli e le attività di consegna e per cercare le attività utilizzando un ID monitoraggio. Token emessi da un account di servizio con questo ruolo vengono generalmente utilizzati dal parco risorse web di un operatore del browser.

Fleet Engine Delivery Untrusted Driver User

roles/fleetengine.deliveryUntrustedDriver

Concede l'autorizzazione per aggiornare la posizione del veicolo per la consegna. Token emessi da un account di servizio con questo ruolo vengono in genere utilizzati dispositivo mobile del corriere.

Nota: "Non attendibile" si riferisce dispositivo del conducente che non è gestito dall'IT aziendale forniti dal conducente e generalmente senza adeguata sicurezza IT i controlli di sicurezza. Le organizzazioni con criteri Bring Your Own Device devono attivare l'opzione per la sicurezza di questo ruolo e affidarsi solo all'app mobile per inviare aggiornamenti sulla posizione dei veicoli a Fleet Engine. Tutte le altre interazioni deve provenire dai tuoi server di backend.

Fleet Engine Delivery Consumer User

roles/fleetengine.deliveryConsumer

Concede l'autorizzazione per cercare attività utilizzando un ID monitoraggio. per leggere ma non aggiornare le informazioni sulle attività. Token emessi da un servizio con questo ruolo vengono in genere utilizzati dall'account browser web.

Fleet Engine Delivery Trusted Driver User

roles/fleetengine.deliveryTrustedDriver

Concede l'autorizzazione per creare e aggiornare i veicoli per la consegna e varie attività, tra cui l'aggiornamento della posizione del veicolo per la consegna e dello stato delle attività o come risultato. I token emessi da un account di servizio con questo ruolo sono generalmente utilizzato dai dispositivi mobili del corriere o nei tuoi server di backend.

Nota: Attendibile si riferisce al dispositivo di un conducente gestito da che disponga di adeguati controlli di sicurezza. Organizzazioni che fornisci che questi dispositivi possano scegliere di integrare le interazioni di Fleet Engine nell'app mobile.

Passaggi successivi

  • Scopri di più sui token web JSON per capire come vengono utilizzati in Fleet Engine.