Kimlik ve Erişim Yönetimi (IAM)

Cloud Firestore için sunucu istemci kitaplıklarını kullandığınızda Identity and Access Management (IAM) ile kaynaklarınıza erişimi yönetebilirsiniz. IAM, belirli Google Cloud kaynaklarına daha ayrıntılı erişim vermenize olanak tanır ve diğer kaynaklara istenmeyen erişimi engeller. Bu sayfada, Cloud Firestore için IAM izinleri ve rolleri açıklanmaktadır. IAM'nin ayrıntılı açıklaması için IAM belgelerini okuyun.

IAM, en az ayrıcalık ilkesi güvenlik ilkesini uygulamanıza olanak tanır. Böylece kaynaklarınıza yalnızca gerekli erişim iznini verirsiniz.

IAM, IAM politikaları belirleyerek hangi kaynaklar için kimin (kullanıcı) ne (rol) iznine sahip olduğunu kontrol etmenizi sağlar. IAM politikaları, bir kullanıcıya bir veya daha fazla rol vererek kullanıcıya belirli izinler sağlar. Örneğin, bir kullanıcıya datastore.indexAdmin rolünü verebilirsiniz. Bu rol, kullanıcının dizin oluşturmasına, değiştirmesine, silmesine, listelemesine veya görüntülemesine olanak tanır.

İzinler ve roller

Bu bölümde, Cloud Firestore tarafından desteklenen izinler ve roller özetlenmektedir.

API yöntemleri için gerekli izinler

Aşağıdaki tabloda, her bir işlemi gerçekleştirmek için çağrı yapanın sahip olması gereken izinler listelenmiştir:

Önceden tanımlanmış roller

IAM ile Cloud Firestore içindeki her API yöntemi, API isteğini gönderen hesabın kaynağı kullanmak için uygun izinlere sahip olmasını gerektirir. İzinler, bir kullanıcıya, gruba veya hizmet hesabına rol veren politikalar ayarlanarak verilir. Sahip, düzenleyici ve görüntüleyici gibi temel rollerin yanı sıra projenizin kullanıcılarına Cloud Firestore rolleri de verebilirsiniz.

Aşağıdaki tabloda Cloud Firestore IAM rolleri listelenmiştir. Bir kullanıcıya, gruba veya hizmet hesabına birden fazla rol verebilirsiniz.

Özel rol sayısı

Önceden tanımlanmış roller işletmenizin gereksinimlerini karşılamıyorsa belirttiğiniz izinlerle kendi özel rollerinizi tanımlayabilirsiniz:

• Özel roller hakkında bilgi edinin.
• Özel roller oluşturma ve yönetme

Etiket oluşturmak ve yönetmek için gereken roller

Oluşturma veya geri yükleme işlemlerinde herhangi bir etiket varsa bazı roller gerekir. Etiket anahtar/değer çiftlerini veritabanı kaynaklarıyla ilişkilendirmeden önce oluşturma hakkında daha fazla bilgi için Etiket oluşturma ve yönetme başlıklı makaleyi inceleyin.

Aşağıda listelenen izinler gereklidir.

Etiketleri görüntüle

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Kaynaklardaki etiketleri yönetme

Etiket değerini eklediğiniz veritabanı kaynağı için aşağıdaki izin gereklidir.

• datastore.databases.createTagBinding

İzinler

Aşağıdaki tabloda, Cloud Firestore tarafından desteklenen izinler listelenmiştir.

Rol değişikliği gecikmesi

Cloud Firestore, IAM izinlerini 5 dakika boyunca önbelleğe alır. Bu nedenle, rol değişikliğinin geçerlilik kazanması 5 dakikayı bulabilir.

Cloud Firestore IAM'yi yönetme

Google Cloud Console, IAM API veya gcloud komut satırı aracını kullanarak IAM politikalarını alabilir ve ayarlayabilirsiniz. Ayrıntılar için Proje üyelerine erişim izni verme, erişim iznini değiştirme ve iptal etme başlıklı makaleyi inceleyin.

Koşullu erişim izinlerini yapılandırma

Koşullu erişim denetimi tanımlamak ve uygulamak için IAM koşullarını kullanabilirsiniz.

Örneğin, aşağıdaki koşul, belirli bir tarihe kadar bir alt öğeye datastore.user rolünü atar:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Geçici erişim için IAM Condition'larını nasıl tanımlayacağınızı öğrenmek istiyorsanız Geçici erişimi yapılandırma başlıklı makaleyi inceleyin.

Bir veya daha fazla veritabanına erişim için IAM Koşulları'nı nasıl yapılandıracağınızı öğrenmek istiyorsanız Veritabanı erişim koşullarını yapılandırma başlıklı makaleyi inceleyin.

IAM'ye güvenlik kuralı bağımlılığı

Mobil/web istemcileri için Cloud Firestore Security Rules, aşağıdaki hizmet hesabına ve IAM bağlamasına bağlıdır:

Firebase, bu hizmet hesabını sizin için otomatik olarak ayarlar. firebaserules.system rolünü bu hizmet hesabından kaldırırsanız güvenlik kurallarınız tüm istekleri reddeder. Bu IAM bağlamasını geri yüklemek için aşağıdaki gcloud CLI komutunu kullanın:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

project_id ve project_number değerlerinizi belirlemek için Projeleri tanımlama başlıklı makaleyi inceleyin.

firebaserules.system rolü varsayılan olarak konsolda gizlendiğinden Google Cloud konsolu yerine Google Cloud CLI aracını kullanın.

Sırada ne var?

• IAM hakkında daha fazla bilgi edinin.
• IAM rolleri verme
• Kimlik doğrulama hakkında bilgi edinin.