إدارة الهوية وإمكانية الوصول (IAM)

عند استخدام مكتبات برامج الخادم لـ Cloud Firestore، يمكنك إدارة إمكانية الوصول إلى مواردك باستخدام خدمة "إدارة الهوية وإمكانية الوصول" (IAM). تتيح لك خدمة "إدارة الهوية وإمكانية الوصول" منح إذن وصول أكثر دقة إلى مراجع Google Cloud معيّنة، كما تمنع الوصول غير المرغوب فيه إلى مراجع أخرى. توضّح هذه الصفحة أذونات وأدوار إدارة الهوية وإمكانية الوصول (IAM) الخاصة بـ Cloud Firestore. للحصول على وصف تفصيلي عن إدارة الهوية وإمكانية الوصول، يُرجى الاطّلاع على مستندات إدارة الهوية وإمكانية الوصول.

تتيح لك خدمة "إدارة الهوية وإمكانية الوصول" اتّباع مبدأ الأمان المستنِد إلى الحدّ الأدنى من الأذونات المميّزة، وبالتالي يمكنك منح الإذن بالوصول إلى مواردك فقط عند الحاجة.

تتيح لك خدمة "إدارة الهوية وإمكانية الوصول" التحكّم في المستخدمين الذين لديهم أدوار تمنحهم أذونات الوصول إلى الموارد من خلال ضبط سياسات "إدارة الهوية وإمكانية الوصول". تمنح سياسات إدارة الهوية وإمكانية الوصول دورًا واحدًا أو أكثر للمستخدم، ما يمنحه أذونات معيّنة. على سبيل المثال، يمكنك منح دور datastore.indexAdmin لمستخدم، ما يتيح له إنشاء الفهارس أو تعديلها أو حذفها أو إدراجها أو عرضها.

الأذونات والأدوار

يلخّص هذا القسم الأذونات والأدوار التي تتوافق مع Cloud Firestore.

الأذونات المطلوبة لطُرق واجهة برمجة التطبيقات

يعرض الجدول التالي الأذونات التي يجب أن يمتلكها المتصل لتنفيذ كل إجراء:

الأدوار المحدّدة مسبقًا

باستخدام IAM، تتطلّب كل طريقة API في Cloud Firestore أن يكون الحساب الذي يرسل طلب بيانات من واجهة برمجة التطبيقات لديه الأذونات المناسبة لاستخدام المورد. يتم منح الأذونات من خلال إعداد سياسات تمنح أدوارًا لمستخدم أو مجموعة أو حساب خدمة. بالإضافة إلى الأدوار الأولية، المالك والمحرّر والمشاهد، يمكنك منح أدوار Cloud Firestore لمستخدمي مشروعك.

يسرد الجدول التالي أدوار Cloud Firestore IAM. يمكنك منح أدوار متعددة لمستخدم أو مجموعة أو حساب خدمة.

الأدوار المخصّصة

إذا لم تلبي الأدوار المحدّدة مسبقًا متطلبات نشاطك التجاري، يمكنك تحديد أدوار مخصّصة تتضمّن الأذونات التي تحدّدها:

• مزيد من المعلومات عن الأدوار المخصّصة
• إنشاء أدوار مخصّصة وإدارتها

الأدوار المطلوبة لإنشاء العلامات وإدارتها

إذا تم تمثيل أي علامة في إجراءات الإنشاء أو الاستعادة، تكون بعض الأدوار مطلوبة. اطّلِع على إنشاء العلامات وإدارتها لمزيد من التفاصيل حول إنشاء أزواج مفتاح-قيمة للعلامات قبل ربطها بموارد قاعدة البيانات.

يجب توفُّر الأذونات المُدرَجة أدناه.

عرض العلامات

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

إدارة العلامات على المراجع

يجب توفّر الإذن التالي لمورد قاعدة البيانات الذي تريد إرفاق قيمة العلامة به.

• datastore.databases.createTagBinding

الأذونات

يعرض الجدول التالي الأذونات التي يتيحها Cloud Firestore.

وقت استجابة تغيير الدور

يخزّن Cloud Firestore أذونات "إدارة الهوية وإمكانية الوصول" مؤقتًا لمدة 5 دقائق، لذا يستغرق تطبيق تغيير الدور مدة تصل إلى 5 دقائق.

إدارة Cloud Firestore IAM

يمكنك الحصول على سياسات إدارة الهوية وإمكانية الوصول وتحديدها باستخدام Google Cloud Console أو واجهة برمجة التطبيقات IAM أو أداة سطر الأوامر gcloud. راجِع مقالة منح إذن الوصول إلى أعضاء المشروع وتغييره وإبطاله للحصول على التفاصيل.

ضبط أذونات الوصول الشرطي

يمكنك استخدام شروط إدارة الهوية وإمكانية الوصول لتحديد عناصر التحكّم في الوصول المشروط وفرضها.

على سبيل المثال، يمنح الشرط التالي الجهة الرئيسية datastore.user الدور حتى تاريخ محدّد:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

للتعرّف على كيفية تحديد "شروط إدارة الهوية وإمكانية الوصول" (IAM) لإذن الوصول المؤقت، يُرجى الاطّلاع على ضبط إذن الوصول المؤقت.

لمعرفة كيفية ضبط "شروط إدارة الهوية وإمكانية الوصول" (IAM) للوصول إلى قاعدة بيانات واحدة أو أكثر، يُرجى الاطّلاع على ضبط شروط الوصول إلى قاعدة البيانات.

اعتماد قاعدة الأمان على إدارة الهوية وإمكانية الوصول

تعتمد Cloud Firestore Security Rules لعملاء الأجهزة الجوّالة/الويب على حساب الخدمة وربط إدارة الهوية وإمكانية الوصول التاليَين:

تتولّى Firebase إعداد حساب الخدمة هذا تلقائيًا. في حال إزالة الدور firebaserules.system من حساب الخدمة هذا، سترفض قواعد الأمان جميع الطلبات. لاستعادة عملية الربط هذه في "إدارة الهوية وإمكانية الوصول"، استخدِم الأمر gcloud CLI التالي:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

لتحديد project_id وproject_number، يُرجى الاطّلاع على تحديد المشاريع.

استخدِم Google Cloud CLI بدلاً من Google Cloud Console، لأنّ دورfirebaserules.system مخفي في وحدة التحكّم تلقائيًا.

الخطوات التالية

• مزيد من المعلومات حول "إدارة الهوية وإمكانية الوصول"
• منح أدوار إدارة الهوية وإمكانية الوصول
• مزيد من المعلومات عن المصادقة