Identity and Access Management (IAM)

Lorsque vous utilisez les bibliothèques clientes de serveur pour Cloud Firestore, vous pouvez gérer l'accès à vos ressources à l'aide d'Identity and Access Management (IAM). IAM vous permet d'attribuer un accès précis à des ressources Google Cloud spécifiques et empêche tout accès non souhaité à d'autres ressources. Cette page décrit les autorisations et les rôles IAM pour Cloud Firestore. Pour obtenir une description détaillée d'IAM, consultez la documentation IAM.

L'IAM vous permet d'adopter le principe de sécurité du moindre privilège afin de n'accorder l'accès qu'aux ressources nécessaires.

En définissant des stratégies IAM, vous pouvez contrôler qui (utilisateur) dispose de quelle autorisation (rôle) et sur quelles ressources. Les stratégies IAM attribuent un ou plusieurs rôles à un utilisateur, ce qui lui confère certaines autorisations. Par exemple, vous pouvez attribuer le rôle datastore.indexAdmin à un utilisateur, ce qui lui permet de créer, modifier, supprimer, répertorier ou afficher des index.

Autorisations et rôles

Cette section récapitule les autorisations et les rôles associés à Cloud Firestore.

Autorisations requises pour les méthodes API

Le tableau suivant répertorie les autorisations dont l'appelant doit disposer pour effectuer chaque action :

Rôles prédéfinis

Avec IAM, chaque méthode d'API dans Cloud Firestore nécessite que le compte qui effectue la requête API dispose des autorisations appropriées pour utiliser la ressource. Ces autorisations sont attribuées en définissant des stratégies qui accordent des rôles à un utilisateur, un groupe ou un compte de service. En plus des rôles primitifs (propriétaire, éditeur et lecteur), vous pouvez attribuer les rôles Cloud Firestore aux utilisateurs de votre projet.

Le tableau suivant liste les rôles IAM Cloud Firestore. Vous pouvez attribuer plusieurs rôles à un utilisateur, un groupe ou un compte de service.

Rôles personnalisés

Si les rôles prédéfinis ne répondent pas à vos besoins métier, vous pouvez définir vos propres rôles personnalisés avec les autorisations de votre choix :

• Apprenez-en plus sur les rôles personnalisés.
• Créez et gérez des rôles personnalisés.

Rôles requis pour créer et gérer des tags

Si un tag est représenté dans les actions de création ou de restauration, certains rôles sont requis. Pour en savoir plus sur la création de paires clé/valeur de tags avant de les associer aux ressources de base de données, consultez Créer et gérer des tags.

Les autorisations listées ci-dessous sont requises.

Afficher les tags

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Gérer les tags sur les ressources

L'autorisation suivante est requise pour la ressource de base de données à laquelle vous associez la valeur de tag.

• datastore.databases.createTagBinding

Autorisations

Le tableau suivant liste les autorisations compatibles avec Cloud Firestore.

Latence de modification d'un rôle

Cloud Firestore met en cache les autorisations IAM pendant cinq minutes. La modification d'un rôle est appliquée dans ce même laps de temps.

Gérer IAM Cloud Firestore

Vous pouvez obtenir et définir des stratégies IAM à l'aide de la console Google Cloud, de l'API IAM ou de l'outil de ligne de commande gcloud. Pour en savoir plus, consultez la page Accorder, modifier et révoquer les accès à des ressources.

Configurer les autorisations d'accès conditionnel

Vous pouvez utiliser les conditions IAM pour définir et appliquer un contrôle des accès conditionnel.

Par exemple, la condition suivante attribue le rôle datastore.user à un compte principal jusqu'à une date spécifiée :

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Pour savoir comment définir des conditions IAM pour un accès temporaire, consultez Configurer un accès temporaire.

Pour savoir comment configurer des conditions IAM pour accéder à une ou plusieurs bases de données, consultez Configurer des conditions d'accès aux bases de données.

Dépendance des règles de sécurité dans IAM

Cloud Firestore Security Rules pour les clients mobiles/Web dépendent du compte de service et de la liaison IAM suivants :

Firebase configure automatiquement ce compte de service pour vous. Si vous supprimez le rôle firebaserules.system de ce compte de service, vos règles de sécurité refuseront toutes les requêtes. Pour restaurer cette liaison IAM, utilisez la commande gcloud CLI suivante :

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Pour déterminer votre project_id et votre project_number, consultez la section Identifier des projets.

Utilisez Google Cloud CLI au lieu de la console Google Cloud, car le rôle firebaserules.system est masqué par défaut dans la console.

Étape suivante

• Apprenez-en plus sur IAM.
• Accorder des rôles IAM
• Obtenez plus d'informations sur l'authentification.