पहचान और ऐक्सेस मैनेजमेंट (आईएएम)

Cloud Firestore के लिए सर्वर क्लाइंट लाइब्रेरी का इस्तेमाल करने पर, पहचान और ऐक्सेस मैनेजमेंट (आईएएम) की मदद से अपने संसाधनों का ऐक्सेस मैनेज किया जा सकता है. IAM की मदद से, Google Cloud के कुछ संसाधनों को बेहतर तरीके से ऐक्सेस किया जा सकता है. साथ ही, अन्य संसाधनों को अनचाहे ऐक्सेस से बचाया जा सकता है. इस पेज पर, Cloud Firestore के लिए IAM अनुमतियों और भूमिकाओं के बारे में बताया गया है. IAM के बारे में ज़्यादा जानकारी के लिए, IAM का दस्तावेज़ पढ़ें.

IAM की मदद से, कम से कम अधिकारों के सुरक्षा सिद्धांत को अपनाया जा सकता है. इससे आपको अपने संसाधनों का ऐक्सेस सिर्फ़ ज़रूरी लोगों को देने में मदद मिलती है.

IAM की मदद से, IAM नीतियां सेट करके यह कंट्रोल किया जा सकता है कि किस उपयोगकर्ता के पास कौनसी भूमिका के लिए कौनसे संसाधनों की अनुमति है. IAM नीतियां, किसी उपयोगकर्ता को एक या उससे ज़्यादा भूमिकाएं असाइन करती हैं. इससे उपयोगकर्ता को कुछ अनुमतियां मिलती हैं. उदाहरण के लिए, किसी उपयोगकर्ता को datastore.indexAdminकी भूमिका दी जा सकती है. इससे उपयोगकर्ता इंडेक्स बना सकता है, उनमें बदलाव कर सकता है, उन्हें मिटा सकता है, उनकी सूची बना सकता है या उन्हें देख सकता है.

अनुमतियां और भूमिकाएं

इस सेक्शन में, उन अनुमतियों और भूमिकाओं के बारे में खास जानकारी दी गई है जो Cloud Firestore के साथ काम करती हैं.

एपीआई के तरीकों के लिए ज़रूरी अनुमतियां

यहां दी गई टेबल में, उन अनुमतियों के बारे में बताया गया है जो कॉलर के पास हर कार्रवाई को पूरा करने के लिए होनी चाहिए:

पहले से तय की गई भूमिकाएं

IAM की मदद से, Cloud Firestore में मौजूद हर एपीआई तरीके के लिए यह ज़रूरी है कि एपीआई अनुरोध करने वाले खाते के पास संसाधन का इस्तेमाल करने की ज़रूरी अनुमतियां हों. अनुमतियां देने के लिए, ऐसी नीतियां सेट की जाती हैं जो किसी उपयोगकर्ता, ग्रुप या सेवा खाते को भूमिकाएं असाइन करती हैं. प्राइमरी भूमिकाओं, मालिक, एडिटर, और दर्शक के अलावा, अपने प्रोजेक्ट के उपयोगकर्ताओं को Cloud Firestore भूमिकाएं असाइन की जा सकती हैं.

यहां दी गई टेबल में, Cloud Firestore IAM भूमिकाओं की सूची दी गई है. किसी उपयोगकर्ता, ग्रुप या सेवा खाते को एक से ज़्यादा भूमिकाएं असाइन की जा सकती हैं.

कस्टम रोल

अगर पहले से तय की गई भूमिकाएं, आपके कारोबार की ज़रूरतों को पूरा नहीं करती हैं, तो अपनी ज़रूरत के हिसाब से कस्टम भूमिकाएं तय की जा सकती हैं. इसके लिए, आपको अपनी पसंद की अनुमतियां तय करनी होंगी:

• कस्टम रोल के बारे में जानें.
• कस्टम रोल बनाना और उन्हें मैनेज करना.

टैग बनाने और मैनेज करने के लिए ज़रूरी भूमिकाएं

अगर किसी टैग को बनाने या वापस लाने के लिए कार्रवाइयां की जाती हैं, तो कुछ भूमिकाएं ज़रूरी होती हैं. डेटाबेस रिसॉर्स से टैग को जोड़ने से पहले, टैग के मुख्य-वैल्यू पेयर बनाने के बारे में ज़्यादा जानने के लिए, टैग बनाना और उन्हें मैनेज करना लेख पढ़ें.

यहां दी गई अनुमतियां ज़रूरी हैं.

टैग देखें

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

संसाधनों पर टैग मैनेज करना

टैग वैल्यू अटैच करने के लिए, डेटाबेस रिसॉर्स के लिए यह अनुमति ज़रूरी है.

• datastore.databases.createTagBinding

अनुमतियां

यहां दी गई टेबल में, Cloud Firestore के साथ काम करने वाली अनुमतियों की सूची दी गई है.

भूमिका में बदलाव होने में लगने वाला समय

Cloud Firestore आईएएम की अनुमतियों को पांच मिनट के लिए कैश मेमोरी में सेव करता है. इसलिए, भूमिका में किए गए बदलाव को लागू होने में पांच मिनट लग सकते हैं.

Cloud Firestore IAM को मैनेज करना

Google Cloud console, IAM API या gcloud कमांड-लाइन टूल का इस्तेमाल करके, IAM नीतियां पाई और सेट की जा सकती हैं. ज़्यादा जानकारी के लिए, प्रोजेक्ट के सदस्यों को ऐक्सेस देना, ऐक्सेस में बदलाव करना, और ऐक्सेस रद्द करना लेख पढ़ें.

शर्त के हिसाब से ऐक्सेस करने की अनुमतियां कॉन्फ़िगर करना

IAM की शर्तों का इस्तेमाल करके, शर्तों के साथ ऐक्सेस कंट्रोल को लागू किया जा सकता है.

उदाहरण के लिए, यहां दी गई शर्त के मुताबिक, किसी प्रिंसिपल को तय की गई तारीख तक datastore.user भूमिका असाइन की जाती है:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

कुछ समय के लिए ऐक्सेस देने के लिए, IAM की शर्तें तय करने का तरीका जानने के लिए, कुछ समय के लिए ऐक्सेस कॉन्फ़िगर करना लेख पढ़ें.

एक या उससे ज़्यादा डेटाबेस के ऐक्सेस के लिए, IAM की शर्तें कॉन्फ़िगर करने का तरीका जानने के लिए, डेटाबेस के ऐक्सेस की शर्तें कॉन्फ़िगर करना लेख पढ़ें.

सुरक्षा के नियम का आईएएम पर निर्भर होना

मोबाइल/वेब क्लाइंट के लिए Cloud Firestore Security Rules, सेवा खाते और आईएएम बाइंडिंग पर निर्भर करता है:

Firebase आपके लिए यह सेवा खाता अपने-आप सेट अप कर देता है. इस सेवा खाते से firebaserules.system की भूमिका हटाने पर, सुरक्षा से जुड़े आपके नियम सभी अनुरोधों को अस्वीकार कर देंगे. इस आईएएम बाइंडिंग को वापस लाने के लिए, gcloud CLI कमांड का इस्तेमाल करें:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

अपने project_id और project_number का पता लगाने के लिए, प्रोजेक्ट की पहचान करना लेख पढ़ें.

Google Cloud Console के बजाय Google Cloud CLI का इस्तेमाल करें, क्योंकि कंसोल में firebaserules.system की भूमिका डिफ़ॉल्ट रूप से छिपी होती है.

आगे क्या करना है

• IAM के बारे में ज़्यादा जानें.
• आईएएम की भूमिकाएं असाइन करें.
• प्रमाणीकरण के बारे में जानें.