Identity and Access Management (IAM)

Google Cloud 提供 Identity and Access Management (IAM)，可实现对特定 Google Cloud 资源更细化的访问权限，并防止对其他资源的不当访问。本页面介绍 Datastore 模式 Firestore 的 IAM 角色。如需详细了解 IAM，请参阅 IAM 文档。

IAM 允许您采用最小权限安全原则，因此您只授予对您资源的必要访问权限。

IAM 允许您通过设置 IAM 策略来控制谁（用户）对哪些资源具有什么权限（角色）。您可以使用 IAM 政策向用户授予特定角色，从而给予用户特定权限。例如，您可以向某个用户授予 datastore.indexAdmin 角色，从而使该用户可以创建、修改、删除、列出或查看索引。

权限和角色

本部分汇总了 Datastore 模式 Firestore 支持的权限和角色。

权限

下表列出了 Datastore 模式 Firestore 支持的权限。

预定义角色

使用 IAM 时，每个 Datastore API 方法都要求发出 API 请求的账号具有适当的资源使用权限。您可以通过设置向用户、群组或服务账号授予角色的政策来授予权限。除了 Owner、Editor 和 Viewer 这些基本角色之外，您还可以为项目用户授予 Datastore 模式 Firestore 角色。

下表列出了 Datastore 模式 Firestore 的 IAM 角色。您可以向用户、群组或服务账号授予多个角色。

自定义角色

如果预定义角色不能满足您的独特业务需求，您可以使用指定的权限定义自己的自定义角色：

• 了解自定义角色。
• 创建和管理自定义角色。

API 方法所需的权限

下表列出了调用者调用每种方法所必需的权限：

元数据和统计信息所需权限

下表列出了调用者调用关于元数据和统计信息的方法时必须具备的权限。

创建 Datastore 模式数据库实例所需的角色

如需创建新的 Datastore 模式数据库实例，您需要 Owner 角色或 Datastore Owner 角色。

Datastore 模式数据库需要一个处于活跃状态的 App Engine 应用。如果项目没有应用，则 Datastore 模式 Firestore 会为您创建一个应用。在这种情况下，您需要 Owner 角色的 appengine.applications.create 权限或包含该权限的 IAM 自定义角色所提供的这一权限。

角色更改延迟时间

Datastore 模式 Firestore 会将 IAM 权限缓存 5 分钟，因此角色更改最多需要 5 分钟才会生效。

管理 IAM

您可以使用 Google Cloud 控制台、IAM 方法或 Google Cloud CLI 来获取和设置 IAM 政策。

• 对于 Google Cloud 控制台，请参阅通过 Google Cloud 控制台进行访问控制。
• 对于 IAM 方法，请参阅通过 API 进行访问权限控制。
• 对于 gcloud CLI，请参阅通过 gcloud 工具进行访问权限控制。

配置条件式访问权限

您可以使用 IAM Conditions 定义和强制执行基于条件的访问权限控制。

例如，以下条件会在指定日期之前向主账号分配 datastore.user 角色：

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

如需了解如何为临时访问权限定义 IAM Conditions 条件，请参阅配置临时访问权限。

如需了解如何配置 IAM Conditions 以访问一个或多个数据库，请参阅配置数据库访问条件。

后续步骤

• 详细了解 IAM。
• 授予 IAM 角色。