Identity and Access Management (uprawnienia)

Gdy używasz bibliotek klienta serwera dla Cloud Firestore, możesz zarządzać dostępem do zasobów za pomocą Identity and Access Management (Uprawnień). Uprawnienia umożliwiają przyznawanie bardziej szczegółowego dostępu do określonych zasobów Google Cloud i zapobiegają niepożądanemu dostępowi do innych zasobów. Na tej stronie opisujemy uprawnienia i role uprawnień w Cloud Firestore. Szczegółowy opis uprawnień znajdziesz w dokumentacji uprawnień.

Uprawnienia umożliwiają wdrożenie zasady jak najmniejszych uprawnień, dzięki czemu przyznajesz tylko niezbędny dostęp do zasobów.

Uprawnienia pozwalają kontrolować, kto (użytkownik) ma jakie (rola) uprawnienia do których zasobów, gdy ustawisz zasady uprawnień. Zasady uprawnień przyznają użytkownikowi co najmniej 1 rolę, dając mu określone uprawnienia. Możesz na przykład przyznać użytkownikowi rolę datastore.indexAdmin, która umożliwia tworzenie, modyfikowanie, usuwanie, wyświetlanie i wyświetlanie listy indeksów.

Uprawnienia i role

W tej sekcji znajdziesz podsumowanie uprawnień i ról obsługiwanych przez Cloud Firestore.

Wymagane uprawnienia do metod interfejsu API

W tabeli poniżej znajdziesz uprawnienia, które musi mieć element wywołujący, aby wykonać poszczególne działania:

Role zdefiniowane

W przypadku uprawnień każda metoda interfejsu API w Cloud Firestore wymaga, aby konto wysyłające żądanie do interfejsu API miało odpowiednie uprawnienia do korzystania z zasobu. Uprawnienia są przyznawane przez ustawienie zasad, które przyznają role użytkownikowi, grupie lub kontu usługi. Oprócz ról podstawowych, właściciela, edytującego i wyświetlającego, możesz przypisać użytkownikom projektu role Cloud Firestore.

W tabeli poniżej znajdziesz role uprawnień Cloud Firestore. Użytkownikowi, grupie lub kontu usługi możesz przypisać wiele ról.

Role niestandardowe

Jeśli role zdefiniowane nie spełniają wymagań Twojej firmy, możesz zdefiniować własne role niestandardowe z samodzielnie określonymi uprawnieniami:

• Więcej informacji o rolach niestandardowych
• Tworzenie ról niestandardowych i zarządzanie nimi.

Role wymagane do tworzenia tagów i zarządzania nimi

Jeśli jakikolwiek tag jest reprezentowany w działaniach tworzenia lub przywracania, wymagane są niektóre role. Więcej informacji o tworzeniu par klucz-wartość tagu przed powiązaniem ich z zasobami bazy danych znajdziesz w artykule Tworzenie tagów i zarządzanie nimi.

Wymagane są te uprawnienia:

Wyświetl tagi

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Zarządzanie tagami zasobów

W przypadku zasobu bazy danych, do którego dołączasz wartość tagu, wymagane jest to uprawnienie:

• datastore.databases.createTagBinding

Uprawnienia

W tabeli poniżej znajdziesz uprawnienia obsługiwane przez Cloud Firestore.

Czas oczekiwania na zmianę roli

Cloud Firestore przechowuje uprawnienia w pamięci podręcznej przez 5 minut, więc zmiana roli zacznie obowiązywać dopiero po tym czasie.

Zarządzanie uprawnieniami Cloud Firestore

Zasady uprawnień możesz pobierać i ustawiać za pomocą konsoli Google Cloud, interfejsu IAM API lub narzędzia wiersza poleceń gcloud. Więcej informacji znajdziesz w artykule na temat przyznawania, zmieniania i odbierania dostępu użytkownikom projektu.

Konfigurowanie uprawnień dostępu warunkowego

Możesz używać warunków IAM do definiowania i egzekwowania warunkowej kontroli dostępu.

Na przykład ten warunek przypisuje podmiotowi zabezpieczeń rolę datastore.user do określonej daty:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Aby dowiedzieć się, jak zdefiniować warunki IAM na potrzeby dostępu tymczasowego, przeczytaj artykuł o konfigurowaniu dostępu tymczasowego.

Aby dowiedzieć się, jak skonfigurować warunki IAM na potrzeby dostępu do co najmniej 1 bazy danych, przeczytaj artykuł o konfigurowaniu warunków dostępu do bazy danych.

Zależność reguły zabezpieczeń od uprawnień

Cloud Firestore Security Rules dla klientów mobilnych i internetowych zależy od tego konta usługi i powiązania uprawnień:

Firebase automatycznie skonfiguruje dla Ciebie to konto usługi. Jeśli usuniesz rolę firebaserules.system z tego konta usługi, reguły zabezpieczeń będą odrzucać wszystkie żądania. Aby przywrócić to powiązanie uprawnień, użyj tego polecenia gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Aby określić project_id i project_number, zapoznaj się z artykułem Identyfikowanie projektów.

Użyj Google Cloud CLI zamiast konsoli Google Cloud, ponieważ rola firebaserules.system jest domyślnie ukryta w konsoli.

Co dalej?

• Dowiedz się więcej o uprawnieniach.
• Przyznaj role uprawnień.
• Dowiedz się więcej o uwierzytelnianiu.