Identity and Access Management (IAM)

Quando você usa as bibliotecas de cliente do servidor para Cloud Firestore, pode gerenciar o acesso aos seus recursos com o Identity and Access Management (IAM). Com o IAM, você tem acesso mais granular a recursos específicos do Google Cloud e impede o acesso indesejado a outros recursos. Nesta página, descrevemos as permissões e os papéis do IAM para o Cloud Firestore. Para uma descrição detalhada do IAM, leia a documentação do IAM.

Com o IAM, é possível adotar o princípio de segurança de privilégio mínimo para conceder apenas o acesso necessário aos recursos.

O IAM permite controlar quem (usuários) tem qual (papéis) permissão para quais recursos. Basta definir as políticas. As políticas do IAM concedem uma ou mais funções a um usuário, oferecendo a ele certas permissões. Por exemplo, é possível conceder o papel datastore.indexAdmin a um usuário, que então terá permissão para criar, modificar, excluir, listar ou visualizar índices.

Permissões e papéis

Esta seção resume as permissões e os papéis compatíveis com o Cloud Firestore.

Permissões necessárias para métodos de API

A tabela a seguir lista as permissões que o autor da chamada precisa ter para executar cada ação:

Papéis predefinidos

Com o IAM, todo método de API no Cloud Firestore requer que a conta autora da solicitação de API tenha as permissões apropriadas para usar o recurso. Defina as políticas que atribuem papéis a um usuário, grupo ou conta de serviço para conceder permissões. Além dos papéis primitivos, proprietário, editor e leitor, é possível conceder papéis do Cloud Firestore aos usuários do seu projeto.

A tabela a seguir lista os papéis do IAM do Cloud Firestore. É possível atribuir vários papéis a um usuário, grupo ou conta de serviço.

Papéis personalizados

Se os papéis predefinidos não atenderem aos seus requisitos de negócios, defina seus próprios papéis personalizados com as permissões que você especificar:

• Saiba mais sobre papéis personalizados.
• Crie e gerencie funções personalizadas.

Papéis necessários para criar e gerenciar tags

Se alguma tag for representada em ações de criação ou restauração, alguns papéis serão necessários. Consulte Como criar e gerenciar tags para mais detalhes sobre a criação de pares de chave-valor de tag antes de associá-los aos recursos do banco de dados.

As seguintes permissões são obrigatórias:

Ver tags

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Gerenciar tags em recursos

A permissão a seguir é necessária para o recurso de banco de dados ao qual você está anexando o valor da tag.

• datastore.databases.createTagBinding

Permissões

A tabela a seguir lista as permissões compatíveis com o Cloud Firestore.

Latência na mudança de papel

O Cloud Firestore armazena em cache as permissões do IAM durante 5 minutos. Portanto, é necessário aguardar esse tempo para que um papel entre em vigor.

Gerenciar o IAM do Cloud Firestore

É possível acessar e definir políticas do IAM usando o console do Google Cloud, a API IAM ou a ferramenta de linha de comando gcloud. Saiba mais em Como conceder, alterar e revogar acesso aos membros do projeto .

Configurar permissões de acesso condicional

Use as condições do IAM para definir e aplicar o controle de acesso condicional.

Por exemplo, a condição a seguir atribui a um principal o papel datastore.user até uma data especificada:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Para saber como definir condições do IAM para acesso temporário, consulte Configurar acesso temporário.

Para saber como configurar as condições do IAM para acesso a um ou mais bancos de dados, consulte Configurar condições de acesso ao banco de dados.

Dependência da regra de segurança no IAM

O Cloud Firestore Security Rules para clientes de dispositivos móveis/Web depende da seguinte conta de serviço e vinculação do IAM:

O Firebase configura automaticamente essa conta de serviço para você. Se você remover o papel firebaserules.system dessa conta de serviço, suas regras de segurança vão negar todas as solicitações. Para restaurar essa vinculação do IAM, use o seguinte comando da gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Para determinar seu project_id e project_number, consulte Como identificar projetos.

Use o Google Cloud CLI em vez do console do Google Cloud, porque a função firebaserules.system fica oculta no console por padrão.

A seguir

• Saiba mais sobre IAM.
• Conceda papéis do IAM.
• Saiba mais sobre autenticação.