Segurança para bibliotecas de cliente do servidor

Quando você usa as bibliotecas de cliente do server para o Firestore, pode gerenciar o acesso aos seus recursos com o Gerenciamento de identidade e acesso (IAM, na sigla em inglês). Com o IAM, você tem acesso mais granular a recursos específicos do Google Cloud e impede o acesso indesejado a outros recursos. Nesta página, descrevemos as permissões e os papéis do IAM para o Firestore. Para uma descrição detalhada do IAM, leia a documentação do IAM.

Com o IAM, é possível adotar o princípio de segurança de privilégio mínimo para conceder apenas o acesso necessário aos recursos.

O IAM permite controlar quem (usuários) tem qual (papéis) permissão para quais recursos. Basta definir as políticas. As políticas do IAM concedem uma ou mais funções a um usuário, oferecendo a ele certas permissões. Por exemplo, é possível conceder o papel datastore.indexAdmin a um usuário, que então terá permissão para criar, modificar, excluir, listar ou visualizar índices.

Permissões e papéis

Esta seção resume as permissões e os papéis compatíveis com o Firestore.

Permissões necessárias para métodos de API

A tabela a seguir lista as permissões que o autor da chamada precisa ter para executar cada ação:

Papéis predefinidos

Com o IAM, todo método de API no Firestore requer que a conta autora da solicitação de API tenha as permissões apropriadas para usar o recurso. Defina as políticas que atribuem papéis a um usuário, grupo ou conta de serviço para conceder permissões. Além dos papéis primários de proprietário, editor e visualizador, é possível conceder papéis do Firestore aos usuários do projeto.

A tabela a seguir lista os papéis do IAM do Firestore. É possível atribuir vários papéis a um usuário, grupo ou conta de serviço.

Papéis personalizados

Se os papéis predefinidos não atenderem aos seus requisitos de negócios, defina seus próprios papéis personalizados com as permissões que você especificar:

• Saiba mais sobre papéis personalizados.
• Crie e gerencie funções personalizadas.

Papéis necessários para criar e gerenciar tags

Se alguma tag for representada em ações de criação ou restauração, algumas funções serão necessárias. Consulte Como criar e gerenciar tags para mais detalhes sobre a criação de pares de chave-valor de tag antes de associá-los aos recursos do banco de dados.

As seguintes permissões são obrigatórias:

Visualizar tags

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Gerenciar tags em recursos

A permissão a seguir é necessária para o recurso de banco de dados ao qual você está anexando o valor da tag.

• datastore.databases.createTagBinding

Permissões

A tabela a seguir lista as permissões compatíveis com o Firestore.

Latência na mudança de papel

O Firestore armazena em cache as permissões de IAM durante cinco minutos. Portanto, é necessário esperar até cinco minutos para que um papel entre em vigor.

Gerenciar o IAM do Firestore

É possível receber e definir políticas do IAM usando o console Google Cloud , a API IAM ou a ferramenta de linha de comando gcloud. Para mais detalhes, consulte Como conceder, alterar e revogar o acesso a membros do projeto.

Configurar permissões de acesso condicional

Use as condições do IAM para definir e aplicar o controle de acesso condicional.

Por exemplo, a condição a seguir atribui a um principal o papel datastore.user até uma data especificada:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Para saber como definir condições do IAM para acesso temporário, consulte Configurar acesso temporário.

Para saber como configurar as condições do IAM para acesso a um ou mais bancos de dados, consulte Configurar condições de acesso ao banco de dados.

Dependência da regra de segurança no IAM

As regras de segurança do Firestore para clientes de dispositivos móveis/Web dependem da seguinte conta de serviço e vinculação do IAM:

O Firebase configura automaticamente essa conta de serviço para você. Se você remover o papel firebaserules.system dessa conta de serviço, suas regras de segurança recusarão todas as solicitações. Para restaurar essa vinculação do IAM, use o seguinte comando da gcloud CLI:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Para determinar seu project_id e project_number, consulte Como identificar projetos.

Use a Google Cloud CLI em vez do console Google Cloud , porque a funçãofirebaserules.systemfica oculta no console por padrão.

A seguir

• Saiba mais sobre IAM.
• Conceda papéis do IAM.
• Saiba mais sobre autenticação.