Sécurité pour les bibliothèques clientes de serveur

Lorsque vous utilisez les bibliothèques clientes de serveur pour Firestore, vous pouvez gérer l'accès à vos ressources à l'aide d'Identity and Access Management (IAM). IAM permet de contrôler plus finement l'accès à des ressources Google Cloud Platform spécifiques et d'empêcher tout accès indésirable à d'autres ressources. Cette page décrit les autorisations et les rôles IAM pour Firestore. Pour une description détaillée d'IAM, lisez la documentation IAM.

IAM vous permet d'adopter le principe de sécurité du moindre privilège afin de n'accorder que l'accès nécessaire à vos ressources.

En définissant des stratégies IAM, vous pouvez contrôler qui (utilisateur) dispose de quelle autorisation (rôle) et sur quelles ressources. Les stratégies IAM attribuent un ou plusieurs rôles à un utilisateur, ce qui lui confère certaines autorisations. Par exemple, vous pouvez attribuer le rôle datastore.indexAdmin à un utilisateur, ce qui lui permet de créer, modifier, supprimer, répertorier ou afficher des index.

Autorisations et rôles

Dans cette section, vous trouverez un récapitulatif des autorisations et des rôles pris en charge par Firestore.

Autorisations requises pour les méthodes API

Le tableau suivant répertorie les autorisations dont l'appelant doit disposer pour effectuer chaque action :

Rôles prédéfinis

Pour pouvoir utiliser toutes les méthodes de l'API avec Firestore dans IAM, le compte effectuant les requêtes d'API doit disposer d'autorisations appropriées pour utiliser la ressource. Ces autorisations sont attribuées en définissant des stratégies qui accordent des rôles à un utilisateur, un groupe ou un compte de service. En plus des rôles primitifs Propriétaire, Éditeur et Lecteur, vous pouvez attribuer des rôles Firestore aux utilisateurs de votre projet.

Le tableau suivant répertorie les rôles IAM de Firestore. Vous pouvez attribuer plusieurs rôles à un utilisateur, un groupe ou un compte de service.

Rôles personnalisés

Si les rôles prédéfinis ne répondent pas aux besoins de votre entreprise, vous pouvez définir vos propres rôles personnalisés et leur accorder les autorisations de votre choix.

• Apprenez-en plus sur les rôles personnalisés.
• Créez et gérez des rôles personnalisés.

Autorisations

Le tableau suivant répertorie les autorisations compatibles avec Firestore.

Latence de modification d'un rôle

Firestore met en cache les autorisations IAM pendant cinq minutes. La modification d'un rôle est appliquée dans ce même laps de temps.

Gérer Firestore IAM

Vous pouvez obtenir et définir des stratégies IAM à l'aide de la console Google Cloud, de l'API IAM ou de l'outil de ligne de commande gcloud. Pour en savoir plus, consultez la page Accorder, modifier et révoquer les accès à des ressources.

Configurer les autorisations d'accès conditionnel

Vous pouvez utiliser les conditions IAM pour définir et appliquer contrôle des accès conditionnel.

Par exemple, la condition suivante attribue le rôle datastore.user à un principal jusqu'à une date spécifiée:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Pour savoir comment définir des conditions IAM pour un accès temporaire, consultez la section Configurer un accès temporaire.

Pour savoir comment configurer des conditions IAM pour l'accès à une ou plusieurs bases de données, consultez la page Configurer des conditions d'accès aux bases de données.

Dépendance des règles de sécurité dans IAM

Les règles de sécurité Firestore pour les clients mobiles/Web dépendent du compte de service et de la liaison IAM suivants :

Firebase configure automatiquement ce compte de service pour vous. Si vous supprimez le rôle firebaserules.system de ce compte de service, vos règles de sécurité refuseront toutes les requêtes. Pour restaurer cette liaison IAM, utilisez la commande gcloud CLI suivante:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Pour déterminer votre project_id et votre project_number, consultez la section Identifier des projets.

Utilisez Google Cloud CLI plutôt que la console Google Cloud, car le rôle firebaserules.system est masqué par défaut dans la console.

Étape suivante

• Apprenez-en plus sur IAM.
• Accorder des rôles IAM
• Obtenez plus d'informations sur l'authentification.