Identity and Access Management (IAM)

Wenn Sie die Server-Clientbibliotheken für Cloud Firestore verwenden, können Sie den Zugriff auf Ihre Ressourcen mit Identity and Access Management (IAM) verwalten. Mit IAM können Sie den Zugriff auf bestimmte Google Cloud-Ressourcen genauer steuern und unerwünschten Zugriff auf andere Ressourcen verhindern. Auf dieser Seite werden die IAM-Berechtigungen und -Rollen für Cloud Firestore beschrieben. Eine ausführliche Beschreibung von IAM finden Sie in der IAM-Dokumentation.

Durch IAM haben Sie die Möglichkeit, das Prinzip der geringsten Berechtigung anzuwenden und somit nur den notwendigen Zugriff auf Ihre Ressourcen zu gewähren.

Durch das Festlegen von IAM-Richtlinien können Sie steuern, wer (Nutzer) welche (Rolle) Berechtigungen für welche Ressourcen hat. IAM-Richtlinien gewähren einem Nutzer eine oder mehrere Rollen und dadurch bestimmte Berechtigungen. Sie können beispielsweise einem Nutzer die Rolle datastore.indexAdmin zuweisen, wodurch der Nutzer Indexe erstellen, ändern, löschen, auflisten oder ansehen kann.

Berechtigungen und Rollen

In diesem Abschnitt werden die Berechtigungen und Rollen zusammengefasst, die Cloud Firestore unterstützt.

Erforderliche Berechtigungen für API-Methoden

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die der Aufrufer zur Ausführung der einzelnen Aktionen benötigt:

Vordefinierte Rollen

Bei IAM erfordert jede API-Methode in Cloud Firestore, dass das Konto, das die API-Anfrage stellt, über die entsprechenden Berechtigungen zur Verwendung der Ressource verfügt. Berechtigungen werden durch die Festlegung von Richtlinien gewährt, die wiederum einem Nutzer, einer Gruppe oder einem Dienstkonto Rollen zuweist. Zusätzlich zu den einfachen Rollen Inhaber, Bearbeiter und Betrachter können Sie den Nutzern Ihres Projekts Cloud Firestore-Rollen zuweisen.

In der folgenden Tabelle sind die Cloud Firestore-IAM-Rollen aufgeführt. Sie können einem Nutzer, einer Gruppe oder einem Dienstkonto mehrere Rollen zuweisen.

Benutzerdefinierte Rollen

Wenn die vordefinierten Rollen Ihren geschäftlichen Anforderungen nicht gerecht werden, können Sie eigene benutzerdefinierte Rollen mit Berechtigungen definieren, die Sie angeben:

• Erfahren Sie mehr über benutzerdefinierte Rollen.
• Benutzerdefinierte Rollen erstellen und verwalten.

Erforderliche Rollen zum Erstellen und Verwalten von Tags

Wenn ein Tag in Erstellungs- oder Wiederherstellungsaktionen dargestellt wird, sind einige Rollen erforderlich. Weitere Informationen zum Erstellen von Tag-Schlüssel/Wert-Paaren, bevor Sie sie mit den Datenbankressourcen verknüpfen, finden Sie unter Tags erstellen und verwalten.

Die folgenden Berechtigungen sind erforderlich.

Tags aufrufen

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Tags für Ressourcen verwalten

Die folgende Berechtigung ist für die Datenbankressource erforderlich, an die Sie den Tag-Wert anhängen.

• datastore.databases.createTagBinding

Berechtigungen

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die von Cloud Firestore unterstützt werden.

Latenz der Rollenänderung

Cloud Firestore speichert IAM-Berechtigungen 5 Minuten lang im Cache. Es dauert also bis zu 5 Minuten, bis eine Rollenänderung wirksam wird.

Cloud Firestore-IAM verwalten

Sie können IAM-Richtlinien mithilfe der Google Cloud Console, der IAM API oder dem gcloud-Befehlszeilentool abrufen und festlegen. Details hierzu finden Sie unter Zugriff für Projektmitglieder zuweisen, ändern und widerrufen.

Berechtigungen für bedingten Zugriff konfigurieren

Mit IAM-Bedingungen können Sie eine bedingte Zugriffssteuerung definieren und erzwingen.

Mit der folgenden Bedingung wird einem Hauptkonto beispielsweise bis zu einem bestimmten Datum die Rolle datastore.user zugewiesen:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Informationen zum Definieren von IAM-Bedingungen für den temporären Zugriff finden Sie unter Temporären Zugriff konfigurieren.

Informationen zum Konfigurieren von IAM-Bedingungen für den Zugriff auf eine oder mehrere Datenbanken finden Sie unter Bedingungen für den Datenbankzugriff konfigurieren.

Abhängigkeiten von Sicherheitsregeln in IAM

Cloud Firestore Security Rules für mobile/Webclients hängen vom folgenden Dienstkonto und der folgenden IAM-Bindung ab:

Firebase richtet dieses Dienstkonto automatisch für Sie ein. Wenn Sie die Rolle firebaserules.system aus diesem Dienstkonto entfernen, werden alle Anfragen von Ihren Sicherheitsregeln abgelehnt. Verwenden Sie den folgenden gcloud CLI-Befehl, um diese IAM-Bindung wiederherzustellen:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Informationen zum Ermitteln von project_id und project_number finden Sie unter Projekte identifizieren.

Verwenden Sie das Google Cloud CLI anstelle der Google Cloud Console, da die Rolle firebaserules.system in der Console standardmäßig ausgeblendet ist.

Nächste Schritte

• Mehr über IAM erfahren
• IAM-Rollen zuweisen
• Weitere Informationen zur Authentifizierung