Identity and Access Management (IAM)

Quando utilizzi le librerie client del server per Cloud Firestore, puoi gestire l'accesso alle tue risorse con Identity and Access Management (IAM). IAM ti consente di concedere un accesso più granulare a determinate risorse Google Cloud e impedisce l'accesso indesiderato ad altre risorse. Questa pagina descrive le autorizzazioni e i ruoli IAM per Cloud Firestore. Per una descrizione dettagliata di IAM, consulta la documentazione di IAM.

Con IAM puoi adottare il principio di sicurezza del privilegio minimo e quindi concedere solo l'accesso necessario alle tue risorse.

IAM ti consente di controllare chi (utente) ha quale (ruolo) autorizzazione per quali risorse impostando le policy IAM. Le policy IAM concedono uno o più ruoli a un utente, assegnandogli determinate autorizzazioni. Ad esempio, puoi concedere il ruolo datastore.indexAdmin a un utente, consentendogli di creare, modificare, eliminare, elencare o visualizzare gli indici.

Autorizzazioni e ruoli

Questa sezione riepiloga le autorizzazioni e i ruoli supportati da Cloud Firestore.

Autorizzazioni richieste per i metodi API

La tabella seguente elenca le autorizzazioni di cui il chiamante deve disporre per eseguire ciascuna azione:

Ruoli predefiniti

Con IAM, ogni metodo API in Cloud Firestore richiede che l'account che effettua la richiesta API disponga delle autorizzazioni appropriate per utilizzare la risorsa. Le autorizzazioni vengono concesse impostando policy che assegnano ruoli a un utente, un gruppo o un service account. Oltre ai ruoli di base, proprietario, editor e visualizzatore, puoi concedere i ruoli Cloud Firestore agli utenti del tuo progetto.

La tabella seguente elenca i ruoli IAM Cloud Firestore. Puoi concedere più ruoli a un utente, un gruppo o un service account.

Ruoli personalizzati

Se i ruoli predefiniti non soddisfano i tuoi requisiti aziendali, puoi definire ruoli personalizzati con le autorizzazioni da te specificate:

• Scopri di più sui ruoli personalizzati.
• Crea e gestisci ruoli personalizzati.

Ruoli richiesti per creare e gestire i tag

Se un tag è rappresentato nelle azioni di creazione o ripristino, sono richiesti alcuni ruoli. Consulta Creazione e gestione dei tag per ulteriori dettagli sulla creazione di coppie chiave-valore dei tag prima di associarle alle risorse del database.

Sono richieste le seguenti autorizzazioni.

Visualizza tag

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Gestisci i tag sulle risorse

Per la risorsa di database a cui stai collegando il valore del tag è richiesta la seguente autorizzazione.

• datastore.databases.createTagBinding

Autorizzazioni

La tabella seguente elenca le autorizzazioni supportate da Cloud Firestore.

Latenza della modifica del ruolo

Cloud Firestore memorizza nella cache le autorizzazioni IAM per 5 minuti, quindi l'applicazione di una modifica del ruolo richiede fino a 5 minuti.

Gestisci IAM Cloud Firestore

Puoi ottenere e impostare le policy IAM utilizzando la console Google Cloud, l'API IAM o lo strumento a riga di comando gcloud. Per maggiori dettagli, consulta Concessione, modifica e revoca dell'accesso ai membri del progetto.

Configura le autorizzazioni di accesso condizionale

Puoi utilizzare le condizioni IAM per definire e applicare il controllo degli accessi condizionale.

Ad esempio, la seguente condizione assegna a un'entità il ruolo datastore.user fino a una data specificata:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Per scoprire come definire le condizioni IAM per l'accesso temporaneo, consulta Configura l'accesso temporaneo.

Per scoprire come configurare le condizioni IAM per l'accesso a uno o più database, consulta Configura le condizioni di accesso al database.

Dipendenza delle regole di sicurezza da IAM

Cloud Firestore Security Rules per i client web/mobile dipendono dal seguente service account e dalla seguente associazione IAM:

Firebase configura automaticamente questo service account per te. Se rimuovi il ruolo firebaserules.system da questo service account, le regole di sicurezza rifiuteranno tutte le richieste. Per ripristinare questa associazione IAM, utilizza il seguente comando gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Per determinare project_id e project_number, consulta Identificazione dei progetti.

Utilizza Google Cloud CLI anziché la console Google Cloud, perché il ruolo firebaserules.system è nascosto nella console per impostazione predefinita.

Passaggi successivi

• Scopri di più su IAM.
• Concedi ruoli IAM.
• Scopri di più sull'autenticazione.