Identity and Access Management (uprawnienia)

Zarządzanie dostępem do zasobów za pomocą usługi Identity and Access Management (IAM). IAM umożliwia przyznawanie bardziej szczegółowego dostępu do konkretnych Google Cloudzasobów i zapobiega niepożądanemu dostępowi do innych zasobów. Na tej stronie opisujemy uprawnienia i role IAM dla Cloud Firestore. Szczegółowy opis IAM znajdziesz w dokumentacji IAM.

IAM umożliwia wdrożenie zasady minimalnego wymaganego poziomu uprawnień, która polega na przyznawaniu wyłącznie niezbędnych praw dostępu do zasobów.

Uprawnienia pozwalają kontrolować, kto (użytkownik) ma jakie (rola) uprawnienia do których zasobów, gdy ustawisz zasady uprawnień. Zasady IAM przyznają użytkownikowi co najmniej 1 rolę, która daje mu określone uprawnienia. Możesz na przykład przyznać użytkownikowi rolę datastore.indexAdmin, która umożliwia mu tworzenie, modyfikowanie, usuwanie, wyświetlanie i przeglądanie indeksów.

Uprawnienia i role

W tej sekcji podsumowujemy uprawnienia i role obsługiwane przez Cloud Firestore.

Wymagane uprawnienia do metod interfejsu API

W tabeli poniżej znajdziesz uprawnienia, które musi mieć wywołujący, aby wykonać poszczególne działania:

Gotowe role

W przypadku IAM każda metoda interfejsu API w Cloud Firestorewymaga, aby konto wysyłające żądanie do interfejsu API miało odpowiednie uprawnienia do korzystania z zasobu. Uprawnienia są przyznawane przez ustawienie zasad, które przyznają role użytkownikowi, grupie lub kontu usługi. Oprócz ról podstawowych właściciel, edytujący i wyświetlający możesz przyznawać użytkownikom projektu role Cloud Firestore.

W tabeli poniżej znajdziesz role Cloud Firestore IAM. Możesz przyznać użytkownikowi, grupie lub kontu usługi wiele ról.

Role niestandardowe

Jeśli wstępnie zdefiniowane role nie spełniają wymagań Twojej firmy, możesz zdefiniować własne role niestandardowe z samodzielnie określonymi uprawnieniami:

• Więcej informacji o rolach niestandardowych
• Tworzenie ról niestandardowych i zarządzanie nimi.

Role wymagane do tworzenia tagów i zarządzania nimi

Jeśli tag jest reprezentowany w działaniach związanych z tworzeniem lub przywracaniem, wymagane są niektóre role. Więcej informacji o tworzeniu par klucz-wartość tagu przed powiązaniem ich z zasobami bazy danych znajdziesz w artykule Tworzenie tagów i zarządzanie nimi.

Wymagane są te uprawnienia:

Wyświetl tagi

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Zarządzanie tagami w zasobach

W przypadku zasobu bazy danych, do którego dołączasz wartość tagu, wymagane jest to uprawnienie:

• datastore.databases.createTagBinding

Uprawnienia

Tabela poniżej zawiera listę uprawnień, które obsługuje Cloud Firestore.

Opóźnienie zmiany roli

Cloud Firestore buforuje uprawnienia IAM przez 5 minut, więc zastosowanie zmiany roli może potrwać do 5 minut.

Zarządzanie Cloud Firestore IAM

Zasady IAM możesz pobierać i ustawiać za pomocą konsoli Google Cloud, interfejsu IAM API lub narzędzia wiersza poleceń gcloud. Więcej informacji znajdziesz w artykule Przyznawanie, zmienianie i odbieranie uprawnień dostępu uczestnikom projektu.

Konfigurowanie uprawnień dostępu warunkowego

Za pomocą warunków uprawnień możesz definiować i egzekwować warunkową kontrolę dostępu.

Na przykład ten warunek przypisuje podmiotowi zabezpieczeń rolę datastore.user do określonej daty:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Aby dowiedzieć się, jak zdefiniować warunki uprawnień dla dostępu tymczasowego, zapoznaj się z artykułem Konfigurowanie dostępu tymczasowego.

Aby dowiedzieć się, jak skonfigurować warunki uprawnień dotyczące dostępu do co najmniej 1 bazy danych, przeczytaj artykuł Konfigurowanie warunków dostępu do bazy danych.

Co dalej?

• Dowiedz się więcej o IAM.
• Przypisz role uprawnień.
• Dowiedz się więcej o uwierzytelnianiu.