पहचान और ऐक्सेस मैनेजमेंट (आईएएम)

Cloud Firestore के लिए सर्वर क्लाइंट लाइब्रेरी का इस्तेमाल करने पर, पहचान और ऐक्सेस मैनेजमेंट (आईएएम) की मदद से अपने संसाधनों का ऐक्सेस मैनेज किया जा सकता है. IAM की मदद से, Google Cloud के खास संसाधनों का ज़्यादा बारीकी से ऐक्सेस दिया जा सकता है. साथ ही, अन्य संसाधनों के अनचाहे ऐक्सेस को रोका जा सकता है. इस पेज पर, Cloud Firestore के लिए आईएएम की अनुमतियों और भूमिकाओं के बारे में बताया गया है. IAM के बारे में ज़्यादा जानकारी के लिए, IAM दस्तावेज़ पढ़ें.

IAM की मदद से, कम से कम अधिकारों का सुरक्षा सिद्धांत अपनाया जा सकता है. इससे अपने संसाधनों का सिर्फ़ ज़रूरी ऐक्सेस दिया जा सकता है.

IAM की मदद से, यह कंट्रोल किया जा सकता है कि किस (उपयोगकर्ता) के पास किन संसाधनों के लिए क्या (भूमिका) अनुमति है. इसके लिए, IAM की नीतियां सेट करनी होंगी. IAM नीतियां, किसी उपयोगकर्ता को एक या उससे ज़्यादा भूमिकाएं देती हैं. इससे उपयोगकर्ता को कुछ अनुमतियां मिलती हैं. उदाहरण के लिए, किसी उपयोगकर्ता को datastore.indexAdmin भूमिका दी जा सकती है. इससे उपयोगकर्ता को इंडेक्स बनाने, उनमें बदलाव करने, उन्हें मिटाने, उनकी सूची बनाने या उन्हें देखने की अनुमति मिलती है.

अनुमतियां और भूमिकाएं

इस सेक्शन में, उन अनुमतियों और भूमिकाओं के बारे में खास जानकारी दी गई है जो Cloud Firestore के साथ काम करती हैं.

एपीआई के तरीकों के लिए ज़रूरी अनुमतियां

यहां दी गई टेबल में उन अनुमतियों की सूची दी गई है जो कॉलर के पास हर कार्रवाई करने के लिए होनी चाहिए:

पहले से तय की गई भूमिकाएं

IAM की मदद से, Cloud Firestore में मौजूद हर एपीआई तरीके के लिए यह ज़रूरी है कि एपीआई अनुरोध करने वाले खाते के पास, संसाधन का इस्तेमाल करने की ज़रूरी अनुमतियां हों. अनुमतियां देने के लिए, ऐसी नीतियां सेट की जाती हैं जो किसी उपयोगकर्ता, ग्रुप या सेवा खाते को भूमिकाएं देती हैं. मालिक, एडिटर, और दर्शक जैसी बुनियादी भूमिकाओं के अलावा, अपने प्रोजेक्ट के उपयोगकर्ताओं को Cloud Firestore भूमिकाएं भी दी जा सकती हैं.

यहां दी गई टेबल में, Cloud Firestore IAM भूमिकाओं की सूची दी गई है. किसी उपयोगकर्ता, ग्रुप या सेवा खाते को एक से ज़्यादा भूमिकाएं असाइन की जा सकती हैं.

कस्टम रोल

अगर पहले से तय की गई भूमिकाएं आपके कारोबार की ज़रूरतों के मुताबिक नहीं हैं, तो अपनी पसंद के मुताबिक कस्टम भूमिकाएं तय की जा सकती हैं. इसके लिए, आपको अपनी पसंद की अनुमतियां देनी होंगी:

• कस्टम भूमिकाओं के बारे में जानें.
• कस्टम रोल बनाना और उन्हें मैनेज करना.

टैग बनाने और मैनेज करने के लिए ज़रूरी भूमिकाएं

अगर किसी टैग को बनाने या वापस लाने की कार्रवाइयों में दिखाया जाता है, तो कुछ भूमिकाएं ज़रूरी होती हैं. डेटाबेस के संसाधनों से जोड़ने से पहले, टैग के लिए की-वैल्यू पेयर बनाने के बारे में ज़्यादा जानने के लिए, टैग बनाना और मैनेज करना लेख पढ़ें.

यहां दी गई अनुमतियां ज़रूरी हैं.

टैग देखें

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

संसाधनों पर टैग मैनेज करना

जिस डेटाबेस रिसॉर्स में टैग वैल्यू अटैच की जा रही है उसके लिए, यह अनुमति ज़रूरी है.

• datastore.databases.createTagBinding

अनुमतियां

यहां दी गई टेबल में, Cloud Firestore के साथ काम करने वाली अनुमतियों की सूची दी गई है.

भूमिका में बदलाव होने में लगने वाला समय

Cloud Firestore, आईएएम की अनुमतियों को पांच मिनट के लिए कैश मेमोरी में सेव करता है. इसलिए, भूमिका में किए गए बदलाव को लागू होने में पांच मिनट लग सकते हैं.

Cloud Firestore IAM मैनेज करना

Google Cloud console, IAM API या gcloud कमांड-लाइन टूल का इस्तेमाल करके, आईएएम की नीतियां सेट की जा सकती हैं और उन्हें ऐक्सेस किया जा सकता है. ज़्यादा जानकारी के लिए, प्रोजेक्ट के सदस्यों को ऐक्सेस देना, उसमें बदलाव करना, और उसे वापस लेना देखें.

शर्तों के साथ ऐक्सेस करने की अनुमतियां कॉन्फ़िगर करना

IAM की शर्तों का इस्तेमाल करके, शर्त के साथ ऐक्सेस कंट्रोल को तय और लागू किया जा सकता है.

उदाहरण के लिए, यहां दी गई शर्त के तहत, किसी प्रिंसिपल को तय की गई तारीख तक datastore.user भूमिका असाइन की जाती है:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

कुछ समय के लिए ऐक्सेस देने के लिए, IAM की स्थितियां तय करने का तरीका जानने के लिए, कुछ समय के लिए ऐक्सेस कॉन्फ़िगर करना लेख पढ़ें.

एक या उससे ज़्यादा डेटाबेस को ऐक्सेस करने के लिए, आईएएम की शर्तों को कॉन्फ़िगर करने का तरीका जानने के लिए, डेटाबेस को ऐक्सेस करने की शर्तें कॉन्फ़िगर करना लेख पढ़ें.

IAM पर सुरक्षा नियम की निर्भरता

Cloud Firestore Security Rules, मोबाइल/वेब क्लाइंट के लिए, इस सेवा खाते और आईएएम बाइंडिंग पर निर्भर करता है:

Firebase आपके लिए, इस सेवा खाते को अपने-आप सेट अप कर देता है. अगर इस सेवा खाते से firebaserules.system की भूमिका को हटाया जाता है, तो आपके सुरक्षा नियम सभी अनुरोधों को अस्वीकार कर देंगे. इस आईएएम बाइंडिंग को वापस लाने के लिए, इस gcloud CLI कमांड का इस्तेमाल करें:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

अपना project_id और project_number तय करने के लिए, प्रोजेक्ट की पहचान करना देखें.

Google Cloud Console के बजाय Google Cloud CLI का इस्तेमाल करें, क्योंकि firebaserules.system भूमिका, कंसोल में डिफ़ॉल्ट रूप से छिपी होती है.

आगे क्या करना है

• IAM के बारे में ज़्यादा जानें.
• आईएएम की भूमिकाएं असाइन करना.
• पुष्टि करने की प्रोसेस के बारे में जानें.