Управление идентификацией и доступом (IAM)

При использовании клиентских библиотек сервера для Cloud Firestore вы можете управлять доступом к своим ресурсам с помощью системы управления идентификацией и доступом (IAM). IAM позволяет предоставлять более детальный доступ к конкретным ресурсам Google Cloud и предотвращает нежелательный доступ к другим ресурсам. На этой странице описаны разрешения и роли IAM для Cloud Firestore . Для получения подробного описания IAM ознакомьтесь с документацией по IAM .

IAM позволяет применять принцип минимальных привилегий в сфере безопасности , предоставляя доступ к ресурсам только необходимым пользователям.

IAM позволяет контролировать, кто (пользователь) имеет какие (роли) разрешения для каких ресурсов, путем установки политик IAM. Политики IAM предоставляют пользователю одну или несколько ролей, наделяя его определенными разрешениями. Например, вы можете предоставить пользователю роль datastore.indexAdmin , которая позволяет ему создавать, изменять, удалять, просматривать или отображать индексы.

Права доступа и роли

В этом разделе приведено краткое описание разрешений и ролей, поддерживаемых Cloud Firestore .

Необходимые разрешения для методов API

В таблице ниже перечислены права доступа, которыми должен обладать вызывающий пользователь для выполнения каждого действия:

Предопределенные роли

В системе IAM для каждого метода API в Cloud Firestore требуется, чтобы учетная запись, выполняющая запрос API, имела соответствующие разрешения на использование ресурса. Разрешения предоставляются путем установки политик, которые назначают роли пользователю, группе или учетной записи службы. В дополнение к основным ролям, таким как владелец, редактор и пользователь , вы можете назначать роли Cloud Firestore пользователям вашего проекта.

В таблице ниже перечислены роли Cloud Firestore IAM. Вы можете предоставить пользователю, группе или учетной записи службы несколько ролей.

Пользовательские роли

Если предопределенные роли не соответствуют вашим бизнес-требованиям, вы можете определить собственные пользовательские роли с указанными вами правами доступа:

• Узнайте о настраиваемых ролях.
• Создавайте и управляйте пользовательскими ролями.

Необходимые роли для создания и управления тегами

Если в операциях создания или восстановления используется какой-либо тег, требуются определенные роли. Дополнительные сведения о создании пар «ключ-значение» для тегов перед их связыванием с ресурсами базы данных см. в разделе «Создание и управление тегами» .

Для работы требуются следующие разрешения.

Просмотреть теги

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Управление тегами на ресурсах

Для ресурса базы данных, к которому вы прикрепляете значение тега, требуются следующие разрешения.

• datastore.databases.createTagBinding

Разрешения

В таблице ниже перечислены разрешения, поддерживаемые Cloud Firestore .

Задержка при смене роли

Cloud Firestore кэширует разрешения IAM на 5 минут, поэтому для вступления в силу изменения роли может потребоваться до 5 минут.

Управление Cloud Firestore IAM

Вы можете получать и устанавливать политики IAM с помощью консоли Google Cloud, API IAM или инструмента командной строки gcloud . Подробности см. в разделе «Предоставление, изменение и отзыв доступа участникам проекта» .

Настройте условные права доступа.

С помощью условий IAM можно определять и обеспечивать контроль доступа на основе условий.

Например, следующее условие назначает субъекту роль datastore.user до указанной даты:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Чтобы узнать, как задать условия IAM для временного доступа, см. раздел «Настройка временного доступа» .

Чтобы узнать, как настроить условия IAM для доступа к одной или нескольким базам данных, см. раздел «Настройка условий доступа к базе данных» .

Зависимость правил безопасности от IAM

Cloud Firestore Security Rules для мобильных/веб-клиентов зависят от следующей учетной записи службы и привязки IAM:

Firebase автоматически настраивает для вас эту учетную запись службы. Если вы удалите роль firebaserules.system из этой учетной записи службы, ваши правила безопасности будут отклонять все запросы. Чтобы восстановить эту привязку IAM, используйте следующую команду gcloud CLI :

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Чтобы определить project_id и project_number , см. раздел «Идентификация проектов» .

Используйте Google Cloud CLI вместо консоли Google Cloud, поскольку роль firebaserules.system по умолчанию скрыта в консоли.

Что дальше?

• Узнайте больше об IAM .
• Предоставьте роли IAM .
• Узнайте об аутентификации .