Quản lý danh tính và quyền truy cập (IAM)

Khi sử dụng thư viện ứng dụng máy chủ cho Cloud Firestore, bạn có thể quản lý quyền truy cập vào tài nguyên của mình bằng dịch vụ Quản lý danh tính và quyền truy cập (IAM). IAM cho phép bạn cấp quyền truy cập chi tiết hơn vào các tài nguyên Google Cloud cụ thể và ngăn chặn quyền truy cập không mong muốn vào các tài nguyên khác. Trang này mô tả các quyền và vai trò của IAM cho Cloud Firestore. Để biết thông tin mô tả chi tiết về IAM, hãy đọc tài liệu về IAM.

IAM cho phép bạn áp dụng nguyên tắc bảo mật về đặc quyền tối thiểu, nhờ đó bạn chỉ cấp quyền truy cập cần thiết vào tài nguyên của mình.

IAM cho phép bạn kiểm soát ai (người dùng) có quyền gì (vai trò) đối với tài nguyên nào bằng cách thiết lập chính sách IAM. Chính sách IAM cấp một hoặc nhiều vai trò cho người dùng, cấp cho người dùng một số quyền nhất định. Ví dụ: bạn có thể cấp vai trò datastore.indexAdmin cho một người dùng, cho phép người dùng đó tạo, sửa đổi, xoá, liệt kê hoặc xem chỉ mục.

Quyền và vai trò

Phần này tóm tắt các quyền và vai trò mà Cloud Firestore hỗ trợ.

Các quyền cần thiết cho phương thức API

Bảng sau đây liệt kê các quyền mà phương thức gọi phải có để thực hiện mỗi hành động:

Vai trò được xác định trước

Với IAM, mọi phương thức API trong Cloud Firestore đều yêu cầu tài khoản đưa ra yêu cầu API phải có quyền thích hợp để sử dụng tài nguyên. Quyền được cấp bằng cách đặt các chính sách cấp vai trò cho người dùng, nhóm hoặc tài khoản dịch vụ. Ngoài các vai trò cơ bản là chủ sở hữu, người chỉnh sửa và người xem, bạn có thể cấp vai trò Cloud Firestore cho người dùng trong dự án của mình.

Bảng sau đây liệt kê các vai trò IAM của Cloud Firestore. Bạn có thể cấp nhiều vai trò cho một người dùng, nhóm hoặc tài khoản dịch vụ.

Vai trò tuỳ chỉnh

Nếu các vai trò được xác định trước không đáp ứng được yêu cầu của doanh nghiệp, bạn có thể xác định vai trò tuỳ chỉnh của riêng mình bằng các quyền mà bạn chỉ định:

• Tìm hiểu về vai trò tuỳ chỉnh.
• Tạo và quản lý vai trò tuỳ chỉnh.

Các vai trò cần thiết để tạo và quản lý thẻ

Nếu bất kỳ thẻ nào được thể hiện trong hành động tạo hoặc khôi phục, thì bạn cần có một số vai trò. Hãy xem bài viết Tạo và quản lý thẻ để biết thêm thông tin về cách tạo cặp khoá-giá trị của thẻ trước khi liên kết các cặp khoá-giá trị đó với tài nguyên cơ sở dữ liệu.

Bạn cần có các quyền được liệt kê sau đây.

Xem thẻ

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Quản lý thẻ trên tài nguyên

Bạn cần có quyền sau đây đối với tài nguyên cơ sở dữ liệu mà bạn đang đính kèm giá trị thẻ.

• datastore.databases.createTagBinding

Quyền

Bảng sau đây liệt kê các quyền mà Cloud Firestore hỗ trợ.

Độ trễ khi thay đổi vai trò

Cloud Firestore lưu quyền IAM vào bộ nhớ đệm trong 5 phút, nên có thể mất đến 5 phút thì thay đổi về vai trò mới có hiệu lực.

Quản lý IAM của Cloud Firestore

Bạn có thể nhận và đặt chính sách IAM bằng Google Cloud Console, API IAM hoặc công cụ dòng lệnh gcloud. Hãy xem phần Cấp, thay đổi và thu hồi quyền truy cập của thành viên dự án để biết thông tin chi tiết.

Định cấu hình quyền truy cập có điều kiện

Bạn có thể sử dụng Điều kiện IAM để xác định và thực thi quyền kiểm soát truy cập có điều kiện.

Ví dụ: điều kiện sau đây chỉ định cho một chủ thể vai trò datastore.user cho đến một ngày cụ thể:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Để tìm hiểu cách xác định Điều kiện IAM cho quyền truy cập tạm thời, hãy xem bài viết Định cấu hình quyền truy cập tạm thời.

Để tìm hiểu cách định cấu hình Điều kiện IAM cho quyền truy cập vào một hoặc nhiều cơ sở dữ liệu, hãy xem phần Định cấu hình điều kiện truy cập cơ sở dữ liệu.

Sự phụ thuộc của quy tắc bảo mật vào IAM

Cloud Firestore Security Rules cho ứng dụng di động/web phụ thuộc vào tài khoản dịch vụ và liên kết IAM sau:

Firebase tự động thiết lập tài khoản dịch vụ này cho bạn. Nếu bạn xoá vai trò firebaserules.system khỏi tài khoản dịch vụ này, thì các quy tắc bảo mật sẽ từ chối tất cả yêu cầu. Để khôi phục mối liên kết IAM này, hãy dùng lệnh gcloud CLI sau:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Để xác định project_id và project_number, hãy xem phần Xác định dự án.

Sử dụng Google Cloud CLI thay vì Google Cloud Console, vì vai trò firebaserules.system bị ẩn trong bảng điều khiển theo mặc định.

Bước tiếp theo

• Tìm hiểu thêm về IAM.
• Cấp vai trò IAM.
• Tìm hiểu về phương thức xác thực.