Identity and Access Management (uprawnienia)

Gdy używasz bibliotek klienta serwera dla Cloud Firestore, możesz zarządzać dostępem do zasobów za pomocą usługi Identity and Access Management (IAM). Usługa IAM umożliwia przyznawanie bardziej szczegółowych uprawnień dostępu do konkretnych Google Cloud zasobów i zapobiega niepożądanemu dostępowi do innych zasobów. Na tej stronie opisujemy uprawnienia i role IAM dla Cloud Firestore. Szczegółowy opis IAM znajdziesz w dokumentacji IAM.

IAM umożliwia wdrożenie zasady jak najmniejszych uprawnień, która polega na przyznawaniu wyłącznie niezbędnych praw dostępu do zasobów.

Uprawnienia pozwalają kontrolować, kto (użytkownik) ma jakie (rola) uprawnienia do których zasobów, gdy ustawisz zasady uprawnień. Zasady IAM przyznają użytkownikowi co najmniej 1 rolę, która daje mu określone uprawnienia. Możesz na przykład przyznać użytkownikowi rolę datastore.indexAdmin, która umożliwia mu tworzenie, modyfikowanie, usuwanie, wyświetlanie i przeglądanie indeksów.

Uprawnienia i role

W tej sekcji znajdziesz podsumowanie uprawnień i ról obsługiwanych przez Cloud Firestore.

Wymagane uprawnienia do metod interfejsu API

W tabeli poniżej znajdziesz uprawnienia, które musi mieć wywołujący, aby wykonać poszczególne działania:

Gotowe role

W przypadku IAM każda metoda interfejsu API w Cloud Firestorewymaga, aby konto wysyłające żądanie do interfejsu API miało odpowiednie uprawnienia do korzystania z zasobu. Uprawnienia są przyznawane przez ustawienie zasad, które przyznają role użytkownikowi, grupie lub kontu usługi. Oprócz ról podstawowych właściciel, edytujący i wyświetlający możesz przyznawać użytkownikom projektu role Cloud Firestore.

W tabeli poniżej znajdziesz role Cloud Firestore IAM. Użytkownikowi, grupie lub kontu usługi możesz przyznać wiele ról.

Role niestandardowe

Jeśli wstępnie zdefiniowane role nie spełniają wymagań Twojej firmy, możesz zdefiniować własne role niestandardowe z samodzielnie określonymi uprawnieniami:

• Więcej informacji o rolach niestandardowych
• Tworzenie ról niestandardowych i zarządzanie nimi.

Role wymagane do tworzenia tagów i zarządzania nimi

Jeśli tag jest reprezentowany w działaniach związanych z tworzeniem lub przywracaniem, wymagane są niektóre role. Więcej informacji o tworzeniu par klucz-wartość tagu przed powiązaniem ich z zasobami bazy danych znajdziesz w artykule Tworzenie tagów i zarządzanie nimi.

Wymagane są te uprawnienia:

Wyświetl tagi

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Zarządzanie tagami w zasobach

W przypadku zasobu bazy danych, do którego dołączasz wartość tagu, wymagane jest to uprawnienie:

• datastore.databases.createTagBinding

Uprawnienia

Tabela poniżej zawiera listę uprawnień, które obsługuje Cloud Firestore.

Opóźnienie zmiany roli

Cloud Firestore buforuje uprawnienia IAM przez 5 minut, więc zastosowanie zmiany roli może potrwać do 5 minut.

Zarządzanie uprawnieniami Cloud Firestore

Zasady IAM możesz pobierać i ustawiać za pomocą konsoli Google Cloud, interfejsu IAM API lub narzędzia wiersza poleceń gcloud. Więcej informacji znajdziesz w artykule Przyznawanie, zmienianie i odbieranie uprawnień dostępu uczestnikom projektu.

Konfigurowanie uprawnień dostępu warunkowego

Za pomocą warunków uprawnień możesz definiować i egzekwować warunkową kontrolę dostępu.

Na przykład ten warunek przypisuje podmiotowi zabezpieczeń rolę datastore.user do określonej daty:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Aby dowiedzieć się, jak zdefiniować warunki uprawnień dla dostępu tymczasowego, przeczytaj artykuł Konfigurowanie dostępu tymczasowego.

Aby dowiedzieć się, jak skonfigurować warunki uprawnień dotyczące dostępu do co najmniej 1 bazy danych, przeczytaj artykuł Konfigurowanie warunków dostępu do bazy danych.

Zależność reguły zabezpieczeń od uprawnień

Cloud Firestore Security Rules w przypadku klientów mobilnych i internetowych zależą od tego konta usługi i powiązania uprawnień:

Firebase automatycznie skonfiguruje to konto usługi. Jeśli usuniesz rolę firebaserules.system z tego konta usługi, reguły bezpieczeństwa będą odrzucać wszystkie żądania. Aby przywrócić to powiązanie IAM, użyj tego polecenia gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Aby określić wartości project_id i project_number, przeczytaj artykuł Identyfikowanie projektów.

Użyj Google Cloud CLI zamiast konsoli Google Cloud, ponieważ rola firebaserules.system jest domyślnie ukryta w konsoli.

Co dalej?

• Dowiedz się więcej o IAM.
• Przyznaj role uprawnień.
• Dowiedz się więcej o uwierzytelnianiu.