إدارة الهوية وإمكانية الوصول (IAM)

عند استخدام مكتبات برامج الخادم لـ Cloud Firestore، يمكنك إدارة الوصول إلى مواردك من خلال "إدارة الهوية وإمكانية الوصول" (IAM). تتيح لك "إدارة الهوية وإمكانية الوصول" منح إذن وصول أكثر دقة إلى موارد محدّدة في Google Cloud ومنع الوصول غير المرغوب فيه إلى الموارد الأخرى. توضّح هذه الصفحة أذونات وأدوار "إدارة الهوية وإمكانية الوصول" في Cloud Firestore. للحصول على وصف تفصيلي حول "إدارة الهوية وإمكانية الوصول"، يُرجى الاطّلاع على مستندات "إدارة الهوية وإمكانية الوصول".

تتيح لك "إدارة الهوية وإمكانية الوصول" (IAM) اعتماد مبدأ الأمان المستنِد إلى الحدّ الأدنى من الأذونات المميّزة، ما يتيح لك منح الأذونات اللازمة فقط للوصول إلى مواردك.

تتيح لك "إدارة الهوية وإمكانية الوصول" (IAM) التحكّم في المستخدمين الذين لديهم أدوار معيّنة تمنحهم أذونات الوصول إلى موارد محدّدة، وذلك من خلال ضبط سياسات IAM. تمنح سياسات "إدارة الهوية وإمكانية الوصول" دورًا واحدًا أو أكثر للمستخدم، ما يمنحه أذونات معيّنة. على سبيل المثال، يمكنك منح الدور datastore.indexAdmin لمستخدم، ما يتيح له إنشاء الفهارس أو تعديلها أو حذفها أو إدراجها أو عرضها.

الأذونات والأدوار

يلخّص هذا القسم الأذونات والأدوار التي يتيحها Cloud Firestore.

الأذونات المطلوبة لطُرق واجهة برمجة التطبيقات

يعرض الجدول التالي الأذونات التي يجب أن يمتلكها المتصل لتنفيذ كل إجراء:

الأدوار المحدّدة مسبقًا

باستخدام "إدارة الهوية وإمكانية الوصول"، تتطلّب كل طريقة من طرق واجهة برمجة التطبيقات في Cloud Firestore أن يكون لدى الحساب الذي يرسل طلب البيانات من واجهة برمجة التطبيقات الأذونات المناسبة لاستخدام المورد. يتم منح الأذونات من خلال ضبط السياسات التي تمنح الأدوار لمستخدم أو مجموعة أو حساب خدمة. بالإضافة إلى الأدوار الأساسية، المالك والمحرِّر والمشاهد، يمكنك منح أدوار Cloud Firestore لمستخدمي مشروعك.

يسرد الجدول التالي أدوار "إدارة الهوية وإمكانية الوصول" في Cloud Firestore. يمكنك منح أدوار متعددة لمستخدم أو مجموعة أو حساب خدمة.

الأدوار المخصّصة

إذا كانت الأدوار المحدّدة مسبقًا لا تلبي متطلبات نشاطك التجاري، يمكنك تحديد أدوارك المخصّصة باستخدام الأذونات التي تحدّدها:

• مزيد من المعلومات حول الأدوار المخصّصة
• إنشاء أدوار مخصّصة وإدارتها

الأدوار المطلوبة لإنشاء العلامات وإدارتها

إذا تم تمثيل أي علامة في إجراءات الإنشاء أو الاستعادة، تكون بعض الأدوار مطلوبة. يُرجى الاطّلاع على مقالة إنشاء العلامات وإدارتها لمزيد من التفاصيل حول إنشاء أزواج مفتاح/قيمة للعلامات قبل ربطها بموارد قاعدة البيانات.

الأذونات التالية مطلوبة.

عرض العلامات

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

إدارة العلامات على الموارد

يجب منح الإذن التالي لمورد قاعدة البيانات الذي تريد إرفاق قيمة العلامة به.

• datastore.databases.createTagBinding

الأذونات

يسرد الجدول التالي الأذونات التي يتيحها Cloud Firestore.

وقت استجابة تغيير الدور

يخزّن Cloud Firestore أذونات "إدارة الهوية وإمكانية الوصول" (IAM) مؤقتًا لمدة 5 دقائق، لذا يستغرق تفعيل تغيير الدور مدة تصل إلى 5 دقائق.

إدارة "إدارة الهوية وإمكانية الوصول" في "Cloud Firestore"

يمكنك الحصول على سياسات "إدارة الهوية وإمكانية الوصول" وضبطها باستخدام وحدة تحكّم Google Cloud أو واجهة برمجة تطبيقات "إدارة الهوية وإمكانية الوصول" أو أداة سطر الأوامر gcloud. لمعرفة التفاصيل، يُرجى الاطّلاع على مقالة منح إذن الوصول إلى أعضاء المشروع وتغييره وإبطاله.

ضبط أذونات الوصول المشروط

يمكنك استخدام شروط إدارة الهوية وإمكانية الوصول لتحديد عناصر التحكّم في الوصول المشروط وفرضها.

على سبيل المثال، يمنح الشرط التالي مستخدمًا أساسيًا دور datastore.user حتى تاريخ محدّد:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

للتعرّف على كيفية تحديد شروط "إدارة الهوية وإمكانية الوصول" للوصول المؤقت، يُرجى الاطّلاع على ضبط إذن الوصول المؤقت.

للتعرّف على كيفية ضبط شروط "إدارة الهوية وإمكانية الوصول" للوصول إلى قاعدة بيانات واحدة أو أكثر، يُرجى الاطّلاع على ضبط شروط الوصول إلى قاعدة البيانات.

اعتماد قاعدة الأمان على "إدارة الهوية وإمكانية الوصول"

يعتمد Cloud Firestore Security Rules لعملاء الأجهزة الجوّالة/الويب على حساب الخدمة التالي وربط "إدارة الهوية وإمكانية الوصول":

يُعدّ Firebase حساب الخدمة هذا لك تلقائيًا. في حال إزالة دور firebaserules.system من حساب الخدمة هذا، سترفض قواعد الأمان جميع الطلبات. لاستعادة عملية الربط هذه في "إدارة الهوية وإمكانية الوصول"، استخدِم الأمر التالي في gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

لتحديد project_id وproject_number، يُرجى الاطّلاع على تحديد المشاريع.

استخدِم Google Cloud CLI بدلاً من وحدة تحكّم Google Cloud، لأنّ دور firebaserules.system يكون مخفيًا في وحدة التحكّم تلقائيًا.

الخطوات التالية

• مزيد من المعلومات حول "إدارة الهوية وإمكانية الوصول"
• منح أدوار "إدارة الهوية وإمكانية الوصول"
• مزيد من المعلومات حول المصادقة