IAM

Google Cloud には Identity and Access Management（IAM）機能があり、特定の Google Cloud リソースに対するアクセス権を詳細に設定できるため、他のリソースへの不要なアクセスを防ぐことができます。このページでは、Datastore モードの Firestore の IAM ロールについて説明します。IAM の詳細については、IAM のドキュメントを参照してください。

IAM を使用すると、最小限の権限のセキュリティ原則を導入できるため、リソースに対する必要なアクセス権のみ付与できます。

IAM では、IAM ポリシーを設定して、誰（どのユーザー）に、どのリソースに対するどのアクセス権（役割）を付与するかを制御することができます。IAM ポリシーは、特定のロールをユーザーに付与することで、そのユーザーに特定の権限を付与します。たとえば、ユーザーに datastore.indexAdmin のロールを付与されたユーザーは、インデックスの作成、変更、削除、一覧表示、表示を行うことができます。

権限とロール

ここでは、Datastore モードの Firestore でサポートされる権限とロールを簡単に説明します。

権限

次の表に、Datastore モードの Firestore でサポートされる権限を示します。

事前定義ロール

IAM では、Datastore のすべての API メソッドで、API リクエストを行うアカウントがリソースの使用に必要な権限を保持していることが要求されます。権限を付与するには、ユーザー、グループ、またはサービス アカウントにロールを付与するポリシーを設定します。オーナー、編集者、閲覧者という基本ロール以外に、Datastore モードの Firestore のロールをプロジェクトのユーザーに付与できます。

次の表に、Datastore モードの Firestore の IAM ロールを示します。1 つのユーザー、グループ、またはサービス アカウントに複数のロールを付与できます。

カスタムの役割

事前定義された役割がお客様のビジネス要件に合っていない場合は、任意に指定した権限を含むカスタムの役割を独自に定義できます。

• カスタムロールについて学びます。
• カスタムロールを作成、管理します。

API メソッドに必要な権限

発信者が各メソッドを呼び出す際に必要となる権限のリストを次の表に示します。

メタデータと統計情報に必要な権限

次の表に、メタデータと統計情報に関するメソッドを呼び出す際に必要な権限を示します。

Datastore モード データベース インスタンスを作成するために必要な役割

新しい Datastore モード データベース インスタンスを作成するには、オーナーのロールまたは Datastore オーナーのロールが必要です。

Datastore モード データベースではアクティブな App Engine アプリケーションが必要です。プロジェクトにアプリケーションがない場合は、Datastore モードの Firestore によりアプリケーションが作成されます。その場合、appengine.applications.create 権限（オーナーのロールまたは IAM カスタムロールに含まれている権限）が必要です。

ロール変更のレイテンシ

Datastore モードの Firestore は IAM 権限を 5 分間キャッシュに保存します。そのため、ロールの変更が反映されるまでに最大で 5 分かかります。

IAM の管理

IAM ポリシーは、Google Cloud Console、IAM メソッド、Google Cloud CLI を使用して取得と設定ができます。

• Google Cloud Console については、Google Cloud Console によるアクセス制御をご覧ください。
• IAM メソッドについては、API によるアクセス制御をご覧ください。
• gcloud CLI については、gcloud ツールによるアクセス制御をご覧ください。

条件付きアクセス権限を構成する

IAM Conditions を使用して、条件付きアクセス制御を定義して適用できます。

たとえば、次の条件では、指定した日付までプリンシパルに datastore.user ロールが割り当てられます。

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

一時的なアクセス権の IAM Conditions を定義する方法については、一時的なアクセス権を構成するをご覧ください。

1 つ以上のデータベースにアクセスするための IAM Conditions を構成する方法については、データベース アクセス条件を構成するをご覧ください。

次のステップ

• IAM の詳細について学習する。
• IAM ロールを付与する。