服务器客户端库的安全性

使用 Firestore 的服务器客户端库时，您可以使用身份和访问权限管理 (IAM) 来管理对您的资源的访问权限。 IAM 允许您为特定 Google Cloud Platform 资源指定更细化的访问权限，同时防止对其他资源的不必要访问。本页面介绍 Firestore 的 IAM 权限和角色。如需详细了解 IAM，请参阅 IAM 文档。

IAM 允许您采用最小权限安全原则，因此您只需授予对您的资源的必要访问权限即可。

IAM 允许您通过设置 IAM 策略来控制谁（用户）对哪些资源具有什么（角色）权限。您可以使用 IAM 政策向用户授予一个或多个角色，给予用户某些权限。例如，您可以向用户授予 datastore.indexAdmin 角色，允许用户创建、修改、删除、列出或查看索引。

权限和角色

本部分概况了 Firestore 支持的权限和角色。

API 方法所需的权限

下表列出了调用者执行各个操作所必需的权限：

预定义角色

有了 IAM，Firestore 中的每个 API 方法都要求提出 API 请求的账号具有使用相应资源的适当权限。您可以通过设置向用户、群组或服务账号授予角色的政策来授予权限。除了所有者、编辑者和查看者这些基本角色外，您还可以向您的项目的用户授予 Firestore 角色。

下表列出了 Firestore IAM 角色。您可以向用户、群组或服务账号授予多个角色。

自定义角色

如果预定义角色不能满足您的独特业务需求，您可以使用指定的权限定义自己的自定义角色：

• 了解自定义角色。
• 创建和管理自定义角色。

权限

下表列出了 Firestore 支持的权限。

角色更改延迟时间

Firestore 会将 IAM 权限缓存 5 分钟，因此角色更改最多需要 5 分钟才会生效。

管理 Firestore IAM

您可以使用 Google Cloud 控制台、IAM API 或 gcloud 命令行工具来获取和设置 IAM 政策。如需了解详情，请参阅授予、更改和撤消项目成员的访问权限。

配置条件式访问权限

您可以使用 IAM Conditions 定义和强制执行基于条件的访问权限控制。

例如，以下条件会在指定日期之前向主账号分配 datastore.user 角色：

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

如需了解如何为临时访问权限定义 IAM Conditions 条件，请参阅配置临时访问权限。

如需了解如何配置 IAM Conditions 以访问一个或多个数据库，请参阅配置数据库访问条件。

IAM 的安全规则依赖关系

适用于移动设备/网页客户端的 Firestore 安全规则依赖于以下服务账号和 IAM 绑定：

Firebase 会自动为您设置此服务账号。如果您从此服务账号中移除 firebaserules.system 角色，您的安全规则将拒绝所有请求。如需恢复此 IAM 绑定，请使用以下 gcloud CLI 命令：

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

要确定您的 project_id 和 project_number，请参阅识别项目。

请使用 Google Cloud CLI 而不是 Google Cloud 控制台，因为在默认情况下，firebaserules.system 角色在控制台中处于隐藏状态。

后续步骤

• 详细了解 IAM。
• 授予 IAM 角色。
• 了解身份验证。