Kimlik ve Erişim Yönetimi (IAM)

Cloud Firestore için sunucu istemci kitaplıklarını kullandığınızda, kaynaklarınıza erişimi Kimlik ve Erişim Yönetimi (IAM) ile yönetebilirsiniz. IAM, belirli Google Cloud kaynaklara daha ayrıntılı erişim izni vermenizi sağlar ve diğer kaynaklara istenmeyen erişimi engeller. Bu sayfada, Cloud Firestore için IAM izinleri ve rolleri açıklanmaktadır. IAM'nin ayrıntılı açıklaması için IAM belgelerini inceleyin.

IAM, en az ayrıcalık ilkesini kullanmanıza olanak tanır. Böylece kaynaklarınıza yalnızca gerekli olan erişim iznini verirsiniz.

IAM, IAM politikaları ayarlayarak hangi kaynaklar için kimin (kullanıcı) ne (rol) iznine sahip olduğunu kontrol etmenize olanak tanır. IAM politikaları, bir kullanıcıya bir veya daha fazla rol vererek kullanıcıya belirli izinler tanır. Örneğin, bir kullanıcıya datastore.indexAdmin rolü atayabilirsiniz. Bu rol, kullanıcının dizin oluşturmasına, değiştirmesine, silmesine, listelemesine veya görüntülemesine olanak tanır.

İzinler ve roller

Bu bölümde, Cloud Firestore tarafından desteklenen izinler ve roller özetlenmektedir.

API yöntemleri için gerekli izinler

Aşağıdaki tabloda, arayanın her işlemi gerçekleştirmek için sahip olması gereken izinler listelenmiştir:

Önceden tanımlanmış roller

IAM ile Cloud Firestore içindeki her API yöntemi için API isteğinde bulunan hesabın kaynağı kullanmak üzere uygun izinlere sahip olması gerekir. İzinler, kullanıcılara, gruplara veya hizmet hesaplarına roller veren politikalar ayarlanarak verilir. Sahip, düzenleyici ve görüntüleyici temel rollerine ek olarak, projenizin kullanıcılarına Cloud Firestore rolleri de verebilirsiniz.

Aşağıdaki tabloda Cloud Firestore IAM rolleri listelenmiştir. Bir kullanıcıya, gruba veya hizmet hesabına birden fazla rol verebilirsiniz.

Özel rol sayısı

Önceden tanımlanmış roller işletme gereksinimlerinizi karşılamıyorsa belirttiğiniz izinlere sahip kendi özel rollerinizi tanımlayabilirsiniz:

• Özel roller hakkında bilgi edinin.
• Özel roller oluşturma ve yönetme

Etiket oluşturmak ve yönetmek için gereken roller

Oluşturma veya geri yükleme işlemlerinde herhangi bir etiket gösteriliyorsa bazı roller gereklidir. Etiketleri veritabanı kaynaklarıyla ilişkilendirmeden önce etiket anahtar-değer çiftleri oluşturma hakkında daha fazla bilgi için Etiket oluşturma ve yönetme başlıklı makaleyi inceleyin.

Aşağıda listelenen izinler gereklidir.

Etiketleri görüntüle

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Kaynaklardaki etiketleri yönetme

Etiket değerini eklediğiniz veritabanı kaynağı için aşağıdaki izin gereklidir.

• datastore.databases.createTagBinding

İzinler

Aşağıdaki tabloda, Cloud Firestore tarafından desteklenen izinler listelenmiştir.

Rol değişikliği gecikmesi

Cloud Firestore, IAM izinlerini 5 dakika boyunca önbelleğe alır. Bu nedenle, rol değişikliğinin geçerli olması 5 dakika sürer.

Cloud Firestore IAM'yi yönetme

Google Cloud Console, IAM API'si veya gcloud komut satırı aracını kullanarak IAM politikalarını alıp ayarlayabilirsiniz. Ayrıntılar için Proje üyelerine erişim verme, erişimi değiştirme ve iptal etme başlıklı makaleyi inceleyin.

Koşullu erişim izinlerini yapılandırma

Koşullu erişim denetimini tanımlamak ve zorunlu kılmak için IAM koşullarını kullanabilirsiniz.

Örneğin, aşağıdaki koşul, belirtilen tarihe kadar bir asile datastore.user rolünü atar:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Geçici erişim için IAM koşullarını nasıl tanımlayacağınızı öğrenmek üzere Geçici erişimi yapılandırma başlıklı makaleye bakın.

Bir veya daha fazla veritabanına erişim için IAM koşullarını nasıl yapılandıracağınızı öğrenmek istiyorsanız Veritabanı erişim koşullarını yapılandırma başlıklı makaleyi inceleyin.

Güvenlik kuralının IAM'ye bağımlılığı

Mobil/web istemcileri için Cloud Firestore Security Rules aşağıdaki hizmet hesabına ve IAM bağlamasına bağlıdır:

Firebase bu hizmet hesabını sizin için otomatik olarak oluşturur. Bu hizmet hesabından firebaserules.system rolünü kaldırırsanız güvenlik kurallarınız tüm istekleri reddeder. Bu IAM bağlamasını geri yüklemek için aşağıdaki gcloud CLI komutunu kullanın:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

project_id ve project_number değerlerinizi belirlemek için Projeleri tanımlama başlıklı makaleyi inceleyin.

Google Cloud Console yerine Google Cloud CLI rolünü kullanın. Çünkü firebaserules.system rolü, konsolda varsayılan olarak gizlidir.

Sırada ne var?

• IAM hakkında daha fazla bilgi edinin.
• IAM rolleri verme.
• Kimlik doğrulama hakkında bilgi edinin.