Sicurezza per le librerie client server

Quando utilizzi le librerie client server per Firestore, puoi gestire l'accesso alle tue risorse con Identity and Access Management (IAM). IAM ti consente di concedere un accesso più granulare a risorse Google Cloud specifiche e impedisce l'accesso indesiderato ad altre risorse. Questa pagina descrive i ruoli e le autorizzazioni IAM per Firestore. Per una descrizione dettagliata di IAM, consulta la documentazione di IAM.

IAM ti consente di adottare il principio di sicurezza del privilegio minimo, in modo da concedere solo il livello di accesso necessario per le tue risorse.

IAM consente di controllare chi (utente) ha quale (ruolo) autorizzazione per quali risorse impostando i criteri IAM. I criteri IAM concedono uno o più ruoli a un utente, conferendogli determinate autorizzazioni. Ad esempio, puoi concedere a un utente il ruolo datastore.indexAdmin, che gli consente di creare, modificare, eliminare, elencare o visualizzare gli indici.

Autorizzazioni e ruoli

Questa sezione riepiloga le autorizzazioni e i ruoli supportati da Firestore.

Autorizzazioni richieste per i metodi API

La seguente tabella elenca le autorizzazioni che il chiamante deve avere per eseguire ogni azione:

Ruoli predefiniti

Con IAM, ogni metodo API in Firestore richiede che l'account che effettua la richiesta API disponga delle autorizzazioni appropriate per utilizzare la risorsa. Le autorizzazioni vengono concesse impostando policy che assegnano ruoli a un utente, un gruppo oaccount di serviziot. Oltre ai ruoli primitivi proprietario, editor e visualizzatore, puoi concedere ruoli Firestore agli utenti del tuo progetto.

La tabella seguente elenca i ruoli IAM di Firestore. Puoi concedere più ruoli a un utente, un gruppo o un account di servizio.

Ruoli personalizzati

Se i ruoli predefiniti non soddisfano i tuoi requisiti aziendali, puoi definire ruoli personalizzati con le autorizzazioni che specifichi:

• Scopri di più sui ruoli personalizzati.
• Crea e gestisci ruoli personalizzati.

Ruoli richiesti per creare e gestire i tag

Se un tag è rappresentato nelle azioni di creazione o ripristino, sono necessari alcuni ruoli. Per ulteriori dettagli sulla creazione di coppie chiave-valore tag prima di associarle alle risorse del database, consulta Creare e gestire i tag.

Sono richieste le seguenti autorizzazioni elencate.

Visualizzare i tag

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Gestire i tag sulle risorse

Per la risorsa di database a cui stai collegando il valore del tag è necessaria la seguente autorizzazione.

• datastore.databases.createTagBinding

Autorizzazioni

La tabella seguente elenca le autorizzazioni supportate da Firestore.

Latenza della modifica del ruolo

Firestore memorizza nella cache le autorizzazioni IAM per 5 minuti, quindi l'applicazione di una modifica del ruolo può richiedere fino a 5 minuti.

Gestisci IAM per Firestore

Puoi ottenere e impostare i criteri IAM utilizzando la console Google Cloud , l'API IAM o lo strumento a riga di comandogcloud. Per maggiori dettagli, consulta Concessione, modifica e revoca dell'accesso ai membri del progetto.

Configurare le autorizzazioni di accesso condizionale

Puoi utilizzare le condizioni IAM per definire e applicarecontrollo dell'accessoo condizionale.

Ad esempio, la seguente condizione assegna a un'entità il ruolo datastore.user fino a una data specificata:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Per scoprire come definire le condizioni IAM per l'accesso temporaneo, vedi Configurare l'accesso temporaneo.

Per scoprire come configurare le condizioni IAM per l'accesso a uno o più database, consulta Configurare le condizioni di accesso al database.

Dipendenza delle regole di sicurezza da IAM

Le regole di sicurezza di Firestore per i client web/mobile dipendono dal seguente account di servizio e dal seguente binding IAM:

Firebase configura automaticamente questo account di servizio per te. Se rimuovi il ruolo firebaserules.system da questoaccount di serviziot, le tue regole di sicurezza negheranno tutte le richieste. Per ripristinare questo binding IAM, utilizza il seguente comando gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Per determinare project_id e project_number, consulta la sezione Identificazione dei progetti.

Utilizza Google Cloud CLI anziché la console Google Cloud , perché il ruolofirebaserules.system è nascosto nella console per impostazione predefinita.

Passaggi successivi

• Scopri di più su IAM.
• Concedi ruoli IAM.
• Scopri di più sull'autenticazione.