ניהול זהויות והרשאות גישה (IAM)

ניהול הגישה למשאבים באמצעות ניהול זהויות והרשאות גישה (IAM). בעזרת IAM תוכלו לתת גישה פרטנית יותר למשאבים ספציפיים ב- Google Cloudולמנוע גישה לא רצויה למשאבים אחרים. בדף הזה מוסבר על ההרשאות והתפקידים של IAM ב-Firestore. למידע מפורט על IAM, תוכלו לעיין במסמכי העזרה של IAM.

בעזרת IAM תוכלו לשמור על עקרון האבטחה של הרשאות מינימליות, וכך לתת רק למי שצריך את רמת הגישה שצריך למשאבים השונים.

באמצעות כללי המדיניות ב-IAM אתם יכולים להחליט למי (משתמשים) יהיו הרשאות (תפקידים) למשאבים מסוימים. כללי המדיניות ב-IAM נותנים למשתמשים תפקיד אחד או יותר עם הרשאות ספציפיות. לדוגמה, אפשר לתת למשתמש את התפקיד datastore.indexAdmin, שמאפשר לו ליצור, לשנות, למחוק, להציג או לראות אינדקסים.

הרשאות ותפקידים

בקטע הזה מפורטים התפקידים וההרשאות שנתמכים ב-Firestore.

ההרשאות הנדרשות לשיטות API

בטבלה הבאה מפורטות ההרשאות שנדרשות למבצע הקריאה החוזרת (caller) כדי לבצע כל פעולה:

‏Method ההרשאות הנדרשות
projects.databases.MongoDBCompatible
ListDatabases datastore.databases.getMetadata
ListIndexes datastore.schemas.list
Find datastore.entities.get
datastore.entities.list
Aggregate datastore.entities.get
datastore.entities.list
GetMore

אותן הרשאות שנדרשו לקריאה שיצרה את הסמן.
ListCollections datastore.entities.list
Count datastore.entities.list
Distinct datastore.entities.get
datastore.entities.list
CommitTransaction datastore.databases.get
AbortTransaction datastore.databases.get
EndSessions datastore.databases.get
KillCursors datastore.databases.get
Insert datastore.entities.create
Update ‫datastore.entities.get
datastore.entities.list
datastore.entities.update
datastore.entities.create (לעדכון או להוספה בלבד)
FindAndModify ‫datastore.entities.get
datastore.entities.list
‫datastore.entities.update (להחלפה או לעדכון בלבד)
datastore.entities.create (לעדכן או להוסיף (upsert) בלבד)
datastore.entities.delete (למחיקה בלבד)
CreateCollection datastore.entities.create
DropCollection datastore.schemas.delete
projects.databases.indexes
create datastore.schemas.create
delete datastore.schemas.delete
get datastore.schemas.get
list datastore.schemas.list
projects.databases
create datastore.databases.create
delete datastore.databases.delete
get datastore.databases.getMetadata
list datastore.databases.list
patch datastore.databases.update
לבטל השעיה datastore.backups.restoreDatabase
clone datastore.databases.clone משכפלים מסד נתונים.

אם הבקשה clone מכילה ערך tags, נדרשות ההרשאות הנוספות הבאות:

  • datastore.databases.createTagBinding

אם רוצים לבדוק אם קישורי התגים הוגדרו בהצלחה על ידי הצגת הקישורים, נדרשות ההרשאות הנוספות הבאות:

  • datastore.databases.listTagBindings
  • datastore.databases.listEffectiveTags
projects.locations
get datastore.locations.get
list datastore.locations.list
projects.databases.backupschedules
get datastore.backupSchedules.get
list datastore.backupSchedules.list
create datastore.backupSchedules.create
update datastore.backupSchedules.update
delete datastore.backupSchedules.delete
projects.locations.backups
get datastore.backups.get
list datastore.backups.list
delete datastore.backups.delete
projects.databases.usercreds
get datastore.userCreds.get
list datastore.userCreds.list
create datastore.userCreds.create
enable datastore.userCreds.update
disable datastore.userCreds.update
resetPassword datastore.userCreds.update
delete datastore.userCreds.delete

תפקידים מוגדרים מראש

באמצעות IAM, כל method ב-API ב-Firestore דורשת שלחשבון שממנו הגיעה בקשת ה-API יהיו ההרשאות המתאימות לשימוש במשאב. ההרשאות ניתנות על ידי הגדרת מדיניות שמעניקה תפקידים למשתמש, לקבוצה או לחשבון שירות. בנוסף לתפקידים הבסיסיים בעלים, עריכה וצפייה, אפשר להעניק תפקידים ב-Firestore למשתמשים בפרויקט.

בטבלה הבאה מפורטים התפקידים ב-IAM של Firestore. אפשר להעניק כמה תפקידים למשתמש, לקבוצה או לחשבון שירות.

תפקיד הרשאות תיאור
roles/datastore.owner appengine.applications.get

datastore.*

resourcemanager.projects.get
resourcemanager.projects.list
 גישה מלאה ל-Firestore.
roles/datastore.user appengine.applications.get

datastore.databases.get
datastore.databases.getMetadata
datastore.databases.list
datastore.entities.*
datastore.schemas.list
datastore.namespaces.get
datastore.namespaces.list
datastore.statistics.get
datastore.statistics.list

resourcemanager.projects.get
resourcemanager.projects.list		 גישת קריאה/כתיבה לנתונים במסד נתונים של Firestore. מיועד למפתחי אפליקציות ולחשבונות שירות.
roles/datastore.viewer appengine.applications.get

datastore.databases.get
datastore.databases.getMetadata
datastore.databases.list
datastore.entities.get
datastore.entities.list
datastore.schemas.get
datastore.schemas.list
datastore.namespaces.get
datastore.namespaces.list
datastore.statistics.get
datastore.statistics.list

resourcemanager.projects.get
resourcemanager.projects.list		 הרשאת קריאה לכל המשאבים של Firestore.
roles/datastore.indexAdmin appengine.applications.get

datastore.databases.getMetadata

datastore.schemas.*

datastore.operations.list
datastore.operations.get
resourcemanager.projects.get
resourcemanager.projects.list		 גישה מלאה לניהול הגדרות האינדקס.
roles/datastore.backupSchedulesViewer datastore.backupSchedules.get
datastore.backupSchedules.list		 הרשאת קריאה ללוחות זמנים של גיבוי במסד נתונים של Firestore.
roles/datastore.backupSchedulesAdmin datastore.backupSchedules.get
datastore.backupSchedules.list
datastore.backupSchedules.create
datastore.backupSchedules.update
datastore.backupSchedules.delete
datastore.databases.list
datastore.databases.getMetadata		 גישה מלאה ללוחות זמנים של גיבוי במסד נתונים של Firestore.
roles/datastore.backupsViewer datastore.backups.get
datastore.backups.list		 גישת קריאה למידע על גיבוי במיקום של Firestore.
roles/datastore.backupsAdmin datastore.backups.get
datastore.backups.list
datastore.backups.delete		 גישה מלאה לגיבויים במיקום של Firestore.
roles/datastore.restoreAdmin datastore.backups.get
datastore.backups.list
datastore.backups.restoreDatabase
datastore.databases.list
datastore.databases.create
datastore.databases.getMetadata
datastore.operations.list
datastore.operations.get
 אפשרות לשחזר גיבוי של Firestore למסד נתונים חדש. התפקיד הזה מאפשר גם ליצור מסדי נתונים חדשים, לא בהכרח על ידי שחזור מגיבוי.
roles/datastore.cloneAdmin datastore.databases.clone
datastore.databases.list
datastore.databases.create
datastore.databases.getMetadata
datastore.operations.list
datastore.operations.get
 אפשרות לשכפל מסד נתונים ב-Firestore למסד נתונים חדש. התפקיד הזה מאפשר גם ליצור מסדי נתונים חדשים, לא בהכרח באמצעות שיבוט.
roles/datastore.statisticsViewer resourcemanager.projects.get
resourcemanager.projects.list
datastore.databases.getMetadata
datastore.insights.get
datastore.keyVisualizerScans.get
datastore.keyVisualizerScans.list
datastore.statistics.list
datastore.statistics.get
 גישת קריאה לתובנות, לנתונים סטטיסטיים ולסריקות של Key Visualizer.
roles/datastore.userCredsViewer datastore.userCreds.get
datastore.userCreds.list		 הרשאת קריאה לפרטי הכניסה של משתמש במסד נתונים של Firestore.
roles/datastore.userCredsAdmin datastore.userCreds.get
datastore.userCreds.list
datastore.userCreds.create
datastore.userCreds.update
datastore.userCreds.delete
datastore.databases.list
datastore.databases.getMetadata		 גישה מלאה לפרטי הכניסה של המשתמשים במסד נתונים של Firestore.

תפקידים בהתאמה אישית

אם התפקידים המוגדרים מראש לא עונים על הדרישות העסקיות שלכם, אתם יכולים להגדיר תפקידים בהתאמה אישית עם הרשאות שאתם מציינים:

תפקידים שנדרשים כדי ליצור ולנהל תגים

אם תג כלשהו מיוצג בפעולות יצירה או שחזור, נדרשים תפקידים מסוימים. איך יוצרים תגים ומנהלים אותם

נדרשות ההרשאות הבאות.

הצגת תגים
  • datastore.databases.listTagBindings
  • datastore.databases.listEffectiveTags
ניהול תגים במשאבים

נדרשת ההרשאה הבאה למשאב מסד הנתונים שאליו מצורף ערך התג.

  • datastore.databases.createTagBinding

הרשאות

בטבלה הבאה מפורטות ההרשאות ש-Firestore תומך בהן.

שם ההרשאה של מסד הנתונים תיאור
datastore.databases.get מתחילים או מבטלים עסקה.
datastore.databases.getMetadata קריאת מטא-נתונים ממסד נתונים.
datastore.databases.list הצגת רשימה של מסדי הנתונים בפרויקט.
datastore.databases.create יוצרים מסד נתונים.
datastore.databases.update עדכון מסד נתונים.
datastore.databases.delete מחיקת מסד נתונים.
datastore.databases.clone משכפלים מסד נתונים.
datastore.databases.createTagBinding יצירת קישור תגים למסד נתונים.
datastore.databases.deleteTagBinding מחיקת קישור תגים למסד נתונים.
datastore.databases.listTagBindings הצגת רשימה של כל הקישורים של התגים למסד נתונים.
datastore.databases.listEffectiveTagBindings הצגת רשימה של תגי איגוד יעילים למסד נתונים.
שם ההרשאה של הישות תיאור
datastore.entities.create יוצרים מסמך.
datastore.entities.delete מחיקת מסמך.
datastore.entities.get לקרוא מסמך.
datastore.entities.list הצגת רשימה של שמות המסמכים בפרויקט.
(נדרשת הרשאה של datastore.entities.get כדי לגשת לנתוני המסמך).
datastore.entities.update עדכון מסמך.
שם הרשאת האינדקס תיאור
datastore.schemas.create יוצרים אינדקס.
datastore.schemas.delete מחיקת אינדקס.
datastore.schemas.get קריאת מטא-נתונים מאינדקס.
datastore.schemas.list הצגת רשימה של האינדקסים בפרויקט.
datastore.schemas.update מעדכנים אינדקס.
שם הרשאת הפעולה תיאור
datastore.operations.cancel ביטול פעולה ממושכת.
datastore.operations.delete מחיקת פעולה ממושכת.
datastore.operations.get מקבל את המצב העדכני של פעולה ממושכת.
datastore.operations.list הצגת רשימה של פעולות ממושכות.
שם ההרשאה של הפרויקט תיאור
resourcemanager.projects.get רשימת המשאבים בפרויקט.
resourcemanager.projects.list הצגת רשימה של פרויקטים שבבעלותכם.
שם הרשאת המיקום תיאור
datastore.locations.get לקבל פרטים על מיקום של מסד נתונים. חובה ליצור מסד נתונים חדש.
datastore.locations.list רשימת המיקומים הזמינים של מסדי נתונים. חובה ליצור מסד נתונים חדש.
שם ההרשאה של Key Visualizer תיאור
datastore.keyVisualizerScans.get קבלת פרטים על סריקות של Key Visualizer.
datastore.keyVisualizerScans.list הצגת רשימה של סריקות Key Visualizer זמינות.
שם ההרשאה של לוח הזמנים של הגיבוי תיאור
datastore.backupSchedules.get קבלת פרטים על לוח זמנים לגיבוי.
datastore.backupSchedules.list רשימת לוחות הזמנים הזמינים לגיבוי.
datastore.backupSchedules.create יוצרים לוח זמנים לגיבוי.
datastore.backupSchedules.update עדכון של לוח זמנים לגיבוי.
datastore.backupSchedules.delete מחיקת לוח זמנים לגיבוי.
שם הרשאת הגיבוי תיאור
datastore.backups.get קבלת פרטים על גיבוי.
datastore.backups.list רשימת הגיבויים הזמינים.
datastore.backups.delete מחיקת גיבוי.
datastore.backups.restoreDatabase שחזור מסד נתונים מגיבוי.
שם ההרשאה לתובנות תיאור
datastore.insights.get קבלת תובנות לגבי משאב
שם ההרשאה של פרטי הכניסה של המשתמש תיאור
datastore.userCreds.get קבלת פרטים על פרטי הכניסה של המשתמש.
datastore.userCreds.list רשימה של פרטי הכניסה הזמינים של המשתמש.
datastore.userCreds.create יוצרים פרטי כניסה למשתמש.
datastore.userCreds.update הפעלה או השבתה של פרטי כניסה של משתמשים, או איפוס של סיסמת משתמש.
datastore.userCreds.delete מחיקת פרטי הכניסה של המשתמש.

זמן האחזור של שינוי התפקיד

ההרשאות ב-IAM נשמרות במטמון של Firestore למשך 5 דקות, ולכן יכול להיות שיחלפו עד 5 דקות עד ששינוי בתפקיד ייכנס לתוקף.

ניהול IAM ב-Firestore

אפשר לקבל ולהגדיר מדיניות IAM באמצעות Google Cloud המסוף,gcloud ה-API של IAM או כלי שורת הפקודה. פרטים נוספים זמינים במאמר בנושא הענקה, שינוי וביטול של הרשאות גישה לחברי פרויקט.

הגדרת הרשאות לגישה מותנית

אפשר להשתמש בתנאים של IAM כדי להגדיר ולאכוף בקרת גישה מותנית.

לדוגמה, התנאי הבא מקצה לחשבון משתמש את התפקיד datastore.user עד לתאריך מסוים:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

במאמר הגדרת גישה זמנית מוסבר איך מגדירים תנאי IAM לגישה זמנית.

כדי ללמוד איך להגדיר תנאי IAM לגישה למסד נתונים אחד או יותר, ראו הגדרת תנאי גישה למסד נתונים.

המאמרים הבאים