إدارة الهوية وإمكانية الوصول (IAM)

عند استخدام مكتبات برامج الخادم لـ Cloud Firestore، يمكنك إدارة إمكانية الوصول إلى مواردك باستخدام خدمة "إدارة الهوية وإمكانية الوصول" (IAM). تتيح لك خدمة "إدارة الهوية وإمكانية الوصول" منح إذن وصول أكثر دقة إلى مراجع Google Cloud معيّنة، كما تمنع الوصول غير المرغوب فيه إلى مراجع أخرى. توضّح هذه الصفحة أذونات وأدوار "إدارة الهوية وإمكانية الوصول" في Cloud Firestore. للحصول على وصف تفصيلي عن إدارة الهوية وإمكانية الوصول، يُرجى الاطّلاع على مستندات إدارة الهوية وإمكانية الوصول.

تتيح لك خدمة "إدارة الهوية وإمكانية الوصول" اتّباع مبدأ الأمان المستنِد إلى الحدّ الأدنى من الأذونات المميّزة، وبالتالي يمكنك منح إذن الوصول اللازم فقط إلى مواردك.

تتيح لك خدمة "إدارة الهوية وإمكانية الوصول" التحكّم في المستخدمين الذين لديهم أدوار تمنحهم أذونات الوصول إلى الموارد من خلال ضبط سياسات "إدارة الهوية وإمكانية الوصول". تمنح سياسات إدارة الهوية وإمكانية الوصول دورًا واحدًا أو أكثر للمستخدم، ما يمنحه أذونات معيّنة. على سبيل المثال، يمكنك منح دور datastore.indexAdmin لمستخدم، ما يتيح له إنشاء الفهارس أو تعديلها أو حذفها أو إدراجها أو عرضها.

الأذونات والأدوار

يلخّص هذا القسم الأذونات والأدوار التي تتوافق مع Cloud Firestore.

الأذونات المطلوبة لطُرق واجهة برمجة التطبيقات

يسرد الجدول التالي الأذونات التي يجب أن يمتلكها المتصل لتنفيذ كل إجراء:

الأدوار المحدّدة مسبقًا

باستخدام IAM، تتطلّب كل طريقة API في Cloud Firestore أن يكون الحساب الذي يرسل طلب بيانات من واجهة برمجة التطبيقات لديه الأذونات المناسبة لاستخدام المورد. يتم منح الأذونات من خلال إعداد سياسات تمنح أدوارًا لمستخدم أو مجموعة أو حساب خدمة. بالإضافة إلى الأدوار الأساسية، المالك والمحرّر والمشاهد، يمكنك منح أدوار Cloud Firestore لمستخدمي مشروعك.

يسرد الجدول التالي أدوار Cloud Firestore IAM. يمكنك منح أدوار متعددة لمستخدم أو مجموعة أو حساب خدمة.

الأدوار المخصّصة

إذا لم تلِ الأدوار المحدّدة مسبقًا متطلبات نشاطك التجاري، يمكنك تحديد أدوار مخصّصة تتضمّن الأذونات التي تحدّدها:

• مزيد من المعلومات عن الأدوار المخصّصة
• إنشاء أدوار مخصّصة وإدارتها

الأدوار المطلوبة لإنشاء العلامات وإدارتها

إذا كانت أي علامة ممثّلة في إجراءات الإنشاء أو الاستعادة، تكون بعض الأدوار مطلوبة. اطّلِع على إنشاء العلامات وإدارتها لمزيد من التفاصيل حول إنشاء أزواج المفتاح والقيمة للعلامات قبل ربطها بموارد قاعدة البيانات.

يجب منح الأذونات المدرَجة أدناه.

عرض العلامات

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

إدارة الإشارات إلى المنتجات على المراجع

يجب منح الإذن التالي لمورد قاعدة البيانات الذي تريد إرفاق قيمة العلامة به.

• datastore.databases.createTagBinding

الأذونات

يسرد الجدول التالي الأذونات التي يتيحها Cloud Firestore.

وقت استجابة تغيير الدور

يخزّن Cloud Firestore أذونات "إدارة الهوية وإمكانية الوصول" (IAM) مؤقتًا لمدة 5 دقائق، لذا يستغرق تطبيق تغيير الدور مدة تصل إلى 5 دقائق.

إدارة "إدارة الهوية وإمكانية الوصول" في Cloud Firestore

يمكنك الحصول على سياسات IAM وضبطها باستخدام "وحدة تحكّم Google Cloud" أو واجهة برمجة تطبيقات IAM أو أداة سطر الأوامر gcloud. لمزيد من التفاصيل، يُرجى الاطّلاع على مقالة منح أعضاء المشروع إذن الوصول وتغييره وإبطاله.

ضبط أذونات الوصول الشرطي

يمكنك استخدام شروط إدارة الهوية وإمكانية الوصول لتحديد عناصر التحكّم في الوصول المشروط وفرضها.

على سبيل المثال، يمنح الشرط التالي الجهة الأساسية دور datastore.user حتى تاريخ محدّد:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

للتعرّف على كيفية تحديد "شروط إدارة الهوية وإمكانية الوصول" (IAM) للوصول المؤقت، راجِع مقالة ضبط إذن الوصول المؤقت.

للتعرّف على كيفية ضبط "شروط إدارة الهوية وإمكانية الوصول" للوصول إلى قاعدة بيانات واحدة أو أكثر، يُرجى الاطّلاع على ضبط شروط الوصول إلى قاعدة البيانات.

اعتماد قاعدة الأمان على "إدارة الهوية وإمكانية الوصول"

تعتمد Cloud Firestore Security Rules لعملاء الأجهزة الجوّالة/الويب على حساب الخدمة وربط إدارة الهوية وإمكانية الوصول التاليَين:

تتولّى Firebase إعداد حساب الخدمة هذا تلقائيًا. إذا أزلت دور firebaserules.system من حساب الخدمة هذا، سترفض قواعد الأمان جميع الطلبات. لاستعادة عملية الربط هذه في "إدارة الهوية وإمكانية الوصول"، استخدِم الأمر gcloud CLI التالي:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

لتحديد project_id وproject_number، يُرجى الاطّلاع على تحديد المشاريع.

استخدِم Google Cloud CLI بدلاً من وحدة تحكّم Google Cloud، لأنّ دورfirebaserules.system مخفي في وحدة التحكّم تلقائيًا.

الخطوات التالية

• مزيد من المعلومات حول "إدارة الهوية وإمكانية الوصول"
• منح أدوار إدارة الهوية وإمكانية الوصول
• مزيد من المعلومات حول المصادقة