Управление учетными данными и доступом (IAM)

При использовании серверных клиентских библиотек для Cloud Firestore вы можете управлять доступом к своим ресурсам с помощью Identity and Access Management (IAM). IAM позволяет предоставлять более детализированный доступ к определенным ресурсам Google Cloud и предотвращает нежелательный доступ к другим ресурсам. На этой странице описаны разрешения и роли IAM для Cloud Firestore. Подробное описание IAM приведено в документации IAM.

IAM позволяет применять принцип минимальных привилегий, то есть предоставлять только необходимый доступ к ресурсам.

IAM позволяет контролировать, кто (пользователь) имеет какое (роль) разрешение для каких ресурсов, путем настройки политик IAM. Правила IAM предоставляют пользователю одну или несколько ролей, давая ему определенные разрешения. Например, вы можете назначить пользователю роль datastore.indexAdmin, которая позволяет создавать, изменять, удалять, перечислять и просматривать индексы.

Разрешения и роли

В этом разделе перечислены разрешения и роли, которые поддерживаются в Cloud Firestore.

Необходимые разрешения для методов API

В таблице ниже перечислены разрешения, которые вызывающая сторона должна иметь для выполнения каждого действия.

Стандартные роли

При использовании IAM каждый метод API в Cloud Firestore требует, чтобы у аккаунта, отправляющего запрос к API, были необходимые разрешения на использование ресурса. Разрешения предоставляются путем настройки правил, которые назначают роли пользователю, группе или сервисному аккаунту. Помимо базовых ролей, владельца, редактора и зрителя, вы можете предоставить пользователям вашего проекта роли Cloud Firestore.

В таблице ниже перечислены роли IAM для Cloud Firestore. Пользователю, группе или сервисному аккаунту можно назначить несколько ролей.

Специальные роли

Если стандартные роли не соответствуют вашим требованиям, вы можете создать собственные роли с нужными разрешениями.

• Подробнее о специальных ролях…
• Как создавать специальные роли и управлять ими

Роли, необходимые для создания тегов и управления ими

Если в действиях по созданию или восстановлению представлен какой-либо тег, требуются определенные роли. Подробнее о том, как создавать пары "ключ-значение" для тегов, прежде чем связывать их с ресурсами базы данных…

Требуются перечисленные ниже разрешения.

Посмотреть теги

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Управление тегами ресурсов

Для ресурса базы данных, к которому вы прикрепляете значение тега, требуется следующее разрешение:

• datastore.databases.createTagBinding

Разрешения

В таблице ниже перечислены разрешения, которые поддерживает Cloud Firestore.

Задержка при изменении роли

Cloud Firestore кеширует разрешения IAM на 5 минут, поэтому изменения вступают в силу в течение этого времени.

Управление IAM в Cloud Firestore

Вы можете получать и настраивать правила IAM с помощью консоли Google Cloud, IAM API или инструмента командной строки gcloud. Подробнее о том, как предоставлять, изменять и отменять доступ для участников проекта…

Как настроить разрешения условного доступа

Вы можете использовать условия IAM, чтобы определять и применять условный контроль доступа.

Например, следующее условие назначает субъекту роль datastore.user до указанной даты:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Подробнее о том, как определить условия IAM для временного доступа, см. Настройка временного доступа.

Чтобы узнать, как настроить условия IAM для доступа к одной или нескольким базам данных, ознакомьтесь со статьей Как настроить условия доступа к базе данных.

Зависимость правил безопасности от IAM

Для работы Cloud Firestore Security Rules на мобильных и веб-клиентах требуется следующий сервисный аккаунт и привязка IAM:

Firebase автоматически настраивает этот сервисный аккаунт. Если вы удалите роль firebaserules.system из этого сервисного аккаунта, правила безопасности будут отклонять все запросы. Чтобы восстановить эту привязку IAM, используйте следующую команду gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Чтобы определить значения project_id и project_number, ознакомьтесь с разделом Идентификация проектов.

Используйте Google Cloud CLI вместо консоли Google Cloud, потому что роль firebaserules.system по умолчанию скрыта в консоли.

Дальнейшие действия

• Подробнее об IAM…
• Предоставьте роли IAM.
• Подробнее об аутентификации…