Sécurité pour les bibliothèques clientes de serveur

Lorsque vous utilisez les bibliothèques clientes de serveur pour Firestore, vous pouvez gérer l'accès à vos ressources à l'aide d'Identity and Access Management (IAM). IAM vous permet d'accorder un accès plus précis à des ressources Google Cloud spécifiques et empêche tout accès indésirable à d'autres ressources. Cette page décrit les autorisations et les rôles IAM pour Firestore. Pour une description détaillée d'IAM, consultez la documentation IAM.

IAM vous permet d'adopter le principe de sécurité du moindre privilège afin de n'accorder que l'accès nécessaire à vos ressources.

En définissant des stratégies IAM, vous pouvez contrôler qui (utilisateur) dispose de quelle autorisation (rôle) et sur quelles ressources. Les stratégies IAM attribuent un ou plusieurs rôles à un utilisateur, ce qui lui confère certaines autorisations. Par exemple, vous pouvez attribuer le rôle datastore.indexAdmin à un utilisateur, ce qui lui permet de créer, modifier, supprimer, répertorier ou afficher des index.

Autorisations et rôles

Dans cette section, vous trouverez un récapitulatif des autorisations et des rôles pris en charge par Firestore.

Autorisations requises pour les méthodes API

Le tableau suivant répertorie les autorisations dont l'appelant doit disposer pour effectuer chaque action :

Rôles prédéfinis

Pour pouvoir utiliser toutes les méthodes de l'API avec Firestore dans IAM, le compte effectuant les requêtes d'API doit disposer d'autorisations appropriées pour utiliser la ressource. Ces autorisations sont attribuées en définissant des stratégies qui accordent des rôles à un utilisateur, un groupe ou un compte de service. En plus des rôles primitifs Propriétaire, Éditeur et Lecteur, vous pouvez attribuer des rôles Firestore aux utilisateurs de votre projet.

Le tableau suivant répertorie les rôles IAM de Firestore. Vous pouvez attribuer plusieurs rôles à un utilisateur, un groupe ou un compte de service.

Rôles personnalisés

Si les rôles prédéfinis ne répondent pas aux besoins de votre entreprise, vous pouvez définir vos propres rôles personnalisés et leur accorder les autorisations de votre choix.

• Apprenez-en plus sur les rôles personnalisés.
• Créez et gérez des rôles personnalisés.

Rôles requis pour créer et gérer des tags

Si un tag est représenté dans les actions de création ou de restauration, certains rôles sont requis. Pour en savoir plus sur la création de paires clé/valeur de tag avant de les associer aux ressources de base de données, consultez Créer et gérer des tags.

Les autorisations listées ci-dessous sont requises.

Afficher les tags

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Gérer les tags sur les ressources

L'autorisation suivante est requise pour la ressource de base de données à laquelle vous associez la valeur de tag.

• datastore.databases.createTagBinding

Autorisations

Le tableau suivant répertorie les autorisations compatibles avec Firestore.

Latence de modification d'un rôle

Firestore met en cache les autorisations IAM pendant cinq minutes. La modification d'un rôle est appliquée dans ce même laps de temps.

Gérer Firestore IAM

Vous pouvez obtenir et définir des stratégies IAM à l'aide de la console Google Cloud , de l'API IAM ou de l'outil de ligne de commande gcloud. Pour en savoir plus, consultez Accorder, modifier et révoquer les accès à des ressources.

Configurer les autorisations d'accès conditionnel

Vous pouvez utiliser les conditions IAM pour définir et appliquer un contrôle des accès conditionnel.

Par exemple, la condition suivante attribue le rôle datastore.user à un compte principal jusqu'à une date spécifiée :

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Pour savoir comment définir des conditions IAM pour un accès temporaire, consultez Configurer un accès temporaire.

Pour savoir comment configurer des conditions IAM pour accéder à une ou plusieurs bases de données, consultez Configurer des conditions d'accès aux bases de données.

Dépendance des règles de sécurité dans IAM

Les règles de sécurité Firestore pour les clients mobiles/Web dépendent du compte de service et de la liaison IAM suivants :

Firebase configure automatiquement ce compte de service pour vous. Si vous supprimez le rôle firebaserules.system de ce compte de service, vos règles de sécurité refuseront toutes les requêtes. Pour restaurer cette liaison IAM, utilisez la commande gcloud CLI suivante :

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Pour déterminer votre project_id et votre project_number, consultez la section Identifier des projets.

Utilisez plutôt Google Cloud CLI que la console Google Cloud , car le rôle firebaserules.system est masqué par défaut dans la console.

Étapes suivantes

• Apprenez-en plus sur IAM.
• Accorder des rôles IAM
• Obtenez plus d'informations sur l'authentification.