Identity and Access Management (uprawnienia)

Gdy używasz bibliotek klienta serwera w Cloud Firestore, możesz zarządzać dostępem do zasobów za pomocą Identity and Access Management (IAM). IAM umożliwia przyznawanie bardziej szczegółowych uprawnień dostępu do konkretnych zasobów Google Cloud i zapobiega niepożądanemu dostępowi do innych zasobów. Na tej stronie opisujemy uprawnienia i role IAM w przypadku Cloud Firestore. Szczegółowy opis uprawnień znajdziesz w dokumentacji uprawnień.

IAM umożliwia wdrożenie zasady jak najmniejszych uprawnień, dzięki czemu przyznajesz dostęp do zasobów tylko w niezbędnym zakresie.

Uprawnienia pozwalają kontrolować, kto (użytkownik) ma jakie (rola) uprawnienia do których zasobów, gdy ustawisz zasady uprawnień. Zasady IAM przyznają użytkownikowi co najmniej 1 rolę, która daje mu określone uprawnienia. Możesz na przykład przyznać użytkownikowi rolę datastore.indexAdmin, która umożliwia mu tworzenie, modyfikowanie, usuwanie, wyświetlanie i przeglądanie indeksów.

Uprawnienia i role

W tej sekcji znajdziesz podsumowanie uprawnień i ról obsługiwanych przez Cloud Firestore.

Wymagane uprawnienia do metod interfejsu API

W tabeli poniżej znajdziesz uprawnienia, które musi mieć wywołujący, aby wykonać poszczególne działania:

Gotowe role

W przypadku IAM każda metoda interfejsu API Cloud Firestorewymaga, aby konto wysyłające żądanie do interfejsu API miało odpowiednie uprawnienia do korzystania z zasobu. Uprawnienia są przyznawane przez ustawienie zasad, które przyznają role użytkownikowi, grupie lub kontu usługi. Oprócz ról podstawowych właściciel, edytujący i wyświetlający możesz przyznawać użytkownikom projektu role Cloud Firestore.

W tabeli poniżej znajdziesz listę ról Cloud Firestore IAM. Użytkownikowi, grupie lub kontu usługi możesz przyznać wiele ról.

Role niestandardowe

Jeśli wstępnie zdefiniowane role nie spełniają wymagań Twojej firmy, możesz zdefiniować własne role niestandardowe z samodzielnie określonymi uprawnieniami:

• Więcej informacji o rolach niestandardowych
• Tworzenie ról niestandardowych i zarządzanie nimi.

Role wymagane do tworzenia tagów i zarządzania nimi

Jeśli w działaniach związanych z tworzeniem lub przywracaniem występuje tag, wymagane są niektóre role. Więcej informacji o tworzeniu par klucz-wartość tagu przed powiązaniem ich z zasobami bazy danych znajdziesz w artykule Tworzenie tagów i zarządzanie nimi.

Wymagane są te uprawnienia:

Wyświetl tagi

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Zarządzanie tagami zasobów

W przypadku zasobu bazy danych, do którego dołączasz wartość tagu, wymagane jest to uprawnienie.

• datastore.databases.createTagBinding

Uprawnienia

Tabela poniżej zawiera listę uprawnień obsługiwanych przez Cloud Firestore.

Opóźnienie zmiany roli

Cloud Firestore buforuje uprawnienia IAM przez 5 minut, więc zastosowanie zmiany roli może potrwać do 5 minut.

Zarządzanie uprawnieniami Cloud Firestore

Zasady IAM możesz pobierać i ustawiać za pomocą konsoli Google Cloud, interfejsu IAM API lub narzędzia wiersza poleceń gcloud. Więcej informacji znajdziesz w artykule Przyznawanie, zmienianie i odbieranie dostępu członkom projektu.

Konfigurowanie uprawnień dostępu warunkowego

Możesz używać warunków uprawnień do definiowania i egzekwowania warunkowej kontroli dostępu.

Na przykład ten warunek przypisuje podmiotowi zabezpieczeń rolę datastore.user do określonej daty:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Aby dowiedzieć się, jak zdefiniować warunki uprawnień dla tymczasowego dostępu, zapoznaj się z artykułem Konfigurowanie tymczasowego dostępu.

Aby dowiedzieć się, jak skonfigurować warunki uprawnień dotyczące dostępu do co najmniej 1 bazy danych, przeczytaj artykuł Konfigurowanie warunków dostępu do bazy danych.

Zależność reguły zabezpieczeń od IAM

Cloud Firestore Security Rules w przypadku klientów mobilnych i internetowych zależą od tego konta usługi i powiązania uprawnień:

Firebase automatycznie skonfiguruje to konto usługi. Jeśli usuniesz z tego konta usługi rolę firebaserules.system, reguły bezpieczeństwa będą odrzucać wszystkie żądania. Aby przywrócić to powiązanie IAM, użyj tego polecenia gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Aby określić project_id i project_number, przeczytaj artykuł Identyfikowanie projektów.

Użyj Google Cloud CLI zamiast konsoli Google Cloud, ponieważ rola firebaserules.system jest domyślnie ukryta w konsoli.

Co dalej?

• Dowiedz się więcej o IAM.
• Przyznaj role uprawnień.
• Dowiedz się więcej o uwierzytelnianiu.