Identity and Access Management (IAM)

Google Cloud offre Identity and Access Management (IAM), che ti consente di concedere un accesso più granulare a risorse Google Cloud specifiche e impedisce l'accesso indesiderato ad altre risorse. Questa pagina descrive i ruoli IAM di Firestore in modalità Datastore. Per una descrizione dettagliata di IAM, consulta la documentazione di IAM.

IAM ti consente di adottare il principio di sicurezza del privilegio minimo, in modo da concedere solo l'accesso necessario alle tue risorse.

IAM consente di controllare chi (utenti) ha quale (ruoli) autorizzazione per quali risorse impostando i criteri IAM. I criteri IAM concedono ruoli specifici a un utente, conferendogli determinati permessi. Ad esempio, puoi assegnare il ruolo datastore.indexAdmin a un utente e l'utente può creare, modificare, eliminare, elencare o visualizzare gli indici.

Autorizzazioni e ruoli

Questa sezione riassume le autorizzazioni e i ruoli supportati da Firestore in modalità Datastore.

Autorizzazioni

La tabella seguente elenca le autorizzazioni supportate da Firestore in modalità Datastore.

Ruoli predefiniti

Con IAM, ogni metodo dell'API Datastore richiede che l'account che effettua la richiesta API disponga delle autorizzazioni appropriate per utilizzare la risorsa. Le autorizzazioni vengono concesse impostando policy che assegnano ruoli a un utente, a un gruppo o a unaccount di serviziot. Oltre ai ruoli di base Proprietario, Editor e Visualizzatore, puoi concedere ruoli Firestore in modalità Datastore agli utenti del tuo progetto.

La tabella seguente elenca i ruoli IAM di Firestore in modalità Datastore. Puoi concedere più ruoli a un utente, a un gruppo o a unaccount di serviziot.

Ruoli personalizzati

Se i ruoli predefiniti non soddisfano i tuoi requisiti aziendali, puoi definire ruoli personalizzati con le autorizzazioni da te specificate:

• Scopri di più sui ruoli personalizzati.
• Crea e gestisci ruoli personalizzati.

Ruoli richiesti per creare e gestire i tag

Se un tag è rappresentato nelle azioni di creazione o ripristino, sono necessari alcuni ruoli. Per ulteriori dettagli sulla creazione di coppie chiave-valore tag prima di associarle alle risorse del database, consulta Creare e gestire i tag.

Sono richieste le seguenti autorizzazioni elencate.

Visualizzare i tag

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Gestire i tag sulle risorse

Per la risorsa di database a cui stai collegando il valore del tag è necessaria la seguente autorizzazione.

• datastore.databases.createTagBinding

Autorizzazioni richieste per i metodi API

La tabella seguente elenca le autorizzazioni di cui il chiamante deve disporre per chiamare ciascun metodo:

Autorizzazioni richieste per metadati e statistiche

La seguente tabella elenca le autorizzazioni che il chiamante deve avere per chiamare i metodi su Metadata e Statistics.

Ruoli richiesti per creare un'istanza di database in modalità Datastore

Per creare una nuova istanza di database in modalità Datastore, devi disporre del ruolo Proprietario o del ruolo Proprietario Datastore.

I database in modalità Datastore richiedono un'applicazione App Engine attiva. Se il progetto non ha un'applicazione, Firestore in modalità Datastore ne crea una per te. In questo caso, devi disporre dell'autorizzazione appengine.applications.create del ruolo Proprietario o di un ruolo personalizzato IAM che contenga l'autorizzazione.

Latenza della modifica del ruolo

Firestore in modalità Datastore memorizza nella cache le autorizzazioni IAM per 5 minuti, quindi possono essere necessari fino a 5 minuti prima che una modifica del ruolo diventi effettiva.

Gestione di IAM

Puoi ottenere e impostare i criteri IAM utilizzando la console Google Cloud , i metodi IAM o Google Cloud CLI.

• Per la console Google Cloud , consulta Controllo dell'accesso tramite la console Google Cloud .
• Per i metodi IAM, consulta Controllo dell'accesso tramite l'API.
• Per gcloud CLI, consulta Controllo dell'accesso tramite lo strumento gcloud.

Configurare le autorizzazioni di accesso condizionale

Puoi utilizzare le condizioni IAM per definire e applicarecontrollo dell'accessoo condizionale.

Ad esempio, la seguente condizione assegna a un'entità il ruolo datastore.user fino a una data specificata:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Per scoprire come definire le condizioni IAM per l'accesso temporaneo, vedi Configurare l'accesso temporaneo.

Per scoprire come configurare le condizioni IAM per l'accesso a uno o più database, consulta Configurare le condizioni di accesso al database.

Passaggi successivi

• Scopri di più su IAM.
• Concedi ruoli IAM.