Управление идентификацией и доступом (IAM)

Управляйте доступом к своим ресурсам с помощью Identity and Access Management (IAM). IAM позволяет предоставлять более детальный доступ к определённым ресурсам Google Cloud и предотвращает нежелательный доступ к другим ресурсам. На этой странице описаны разрешения и роли IAM для Cloud Firestore . Подробное описание IAM см. в документации IAM .

IAM позволяет вам использовать принцип безопасности наименьших привилегий , то есть предоставлять только необходимый доступ к вашим ресурсам.

IAM позволяет контролировать, кто (пользователь) имеет какие разрешения (роли) для тех или иных ресурсов, настраивая политики IAM. Политики IAM предоставляют пользователю одну или несколько ролей, предоставляя ему определённые разрешения. Например, можно назначить пользователю роль datastore.indexAdmin , которая позволяет создавать, изменять, удалять, перечислять и просматривать индексы.

Разрешения и роли

В этом разделе описываются разрешения и роли, поддерживаемые Cloud Firestore .

Требуемые разрешения для методов API

В следующей таблице перечислены разрешения, которые должен иметь вызывающий абонент для выполнения каждого действия:

Предопределенные роли

При использовании IAM каждый метод API в Cloud Firestore требует, чтобы учётная запись, отправляющая запрос API, имела соответствующие разрешения на использование ресурса. Разрешения предоставляются путём настройки политик, назначающих роли пользователю, группе или учётной записи службы. Помимо базовых ролей владельца, редактора и наблюдателя , вы можете назначать роли Cloud Firestore пользователям вашего проекта.

В таблице ниже перечислены роли IAM Cloud Firestore . Вы можете назначить несколько ролей пользователю, группе или учётной записи службы.

Пользовательские роли

Если предопределенные роли не отвечают вашим бизнес-требованиям, вы можете определить собственные роли с указанными вами разрешениями:

• Узнайте больше о пользовательских ролях.
• Создавайте и управляйте пользовательскими ролями.

Необходимые роли для создания и управления тегами

Если какой-либо тег представлен в действиях создания или восстановления, требуются определённые роли. Подробнее о создании пар «ключ-значение» тега перед их связыванием с ресурсами базы данных см. в разделе «Создание и управление тегами».

Требуются следующие разрешения.

Просмотреть теги

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Управление тегами ресурсов

Для ресурса базы данных, к которому вы прикрепляете значение тега, требуется следующее разрешение.

• datastore.databases.createTagBinding

Разрешения

В следующей таблице перечислены разрешения, поддерживаемые Cloud Firestore .

Задержка смены ролей

Cloud Firestore кэширует разрешения IAM на 5 минут, поэтому для вступления изменения роли в силу требуется до 5 минут.

Управление IAM Cloud Firestore

Вы можете получать и настраивать IAM-политики с помощью консоли Google Cloud, API IAM или инструмента командной строки gcloud . Подробнее см. в разделе «Предоставление, изменение и отзыв доступа участникам проекта» .

Настройте условные разрешения доступа

Условия IAM можно использовать для определения и реализации условного контроля доступа.

Например, следующее условие назначает субъекту роль datastore.user до указанной даты:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Чтобы узнать, как определить условия IAM для временного доступа, см. раздел Настройка временного доступа .

Информацию о настройке условий IAM для доступа к одной или нескольким базам данных см. в разделе Настройка условий доступа к базе данных .

Что дальше?

• Узнайте больше о IAM .
• Предоставление ролей IAM .
• Подробнее об аутентификации .