Identity and Access Management (IAM)

Durch IAM haben Sie die Möglichkeit, das Prinzip der geringsten Berechtigung anzuwenden und somit nur den notwendigen Zugriff auf Ihre Ressourcen zu gewähren.

Durch das Festlegen von IAM-Richtlinien können Sie steuern, wer (Nutzer) welche (Rolle) Berechtigungen für welche Ressourcen hat. IAM-Richtlinien gewähren einem Nutzer eine oder mehrere Rollen und dadurch bestimmte Berechtigungen. Sie können beispielsweise einem Nutzer die Rolle datastore.indexAdmin zuweisen, wodurch der Nutzer Indexe erstellen, ändern, löschen, auflisten oder ansehen kann.

Berechtigungen und Rollen

In diesem Abschnitt werden die Berechtigungen und Rollen zusammengefasst, die von Firestore unterstützt werden.

Erforderliche Berechtigungen für API-Methoden

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die der Aufrufer zur Ausführung der einzelnen Aktionen benötigt:

Vordefinierte Rollen

Bei IAM erfordert jede API-Methode in Firestore, dass das Konto, das die API-Anfrage durchführt, die entsprechenden Berechtigungen zur Verwendung der Ressource hat. Berechtigungen werden durch die Festlegung von Richtlinien gewährt, die wiederum einem Nutzer, einer Gruppe oder einem Dienstkonto Rollen zuweist. Zusätzlich zu den einfachen Rollen "Inhaber", "Bearbeiter" und "Betrachter" können Sie den Nutzern Ihres Projekts Firestore-Rollen zuweisen.

In der folgenden Tabelle sind die Firestore-IAM-Rollen aufgeführt. Sie können einem Nutzer, einer Gruppe oder einem Dienstkonto mehrere Rollen zuweisen.

Benutzerdefinierte Rollen

Wenn die vordefinierten Rollen für Ihre geschäftlichen Anforderungen nicht ausreichen, können Sie eigene benutzerdefinierte Rollen mit selbst definierten Berechtigungen festlegen.

• Erfahren Sie mehr über benutzerdefinierte Rollen.
• Benutzerdefinierte Rollen erstellen und verwalten.

Erforderliche Rollen zum Erstellen und Verwalten von Tags

Wenn ein Tag in Erstellungs- oder Wiederherstellungsaktionen enthalten ist, sind bestimmte Rollen erforderlich. Weitere Informationen zum Erstellen von Tag-Schlüssel/Wert-Paaren, bevor Sie sie den Datenbankressourcen zuordnen, finden Sie unter Tags erstellen und verwalten.

Die folgenden Berechtigungen sind erforderlich.

Tags anzeigen

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Tags für Ressourcen verwalten

Die folgende Berechtigung ist für die Datenbankressource erforderlich, an die Sie den Tag-Wert anhängen.

• datastore.databases.createTagBinding

Berechtigungen

In der folgenden Tabelle sind die von Firestore unterstützten Berechtigungen aufgeführt.

Latenz der Rollenänderung

Firestore speichert IAM-Berechtigungen fünf Minuten lang im Cache. Es dauert also bis zu fünf Minuten, bis eine Rollenänderung wirksam wird.

Firestore-IAM verwalten

Sie können IAM-Richtlinien mithilfe der Google Cloud -Konsole, der IAM API oder des gcloud-Befehlszeilentools abrufen und festlegen. Weitere Informationen finden Sie unter Zugriff für Projektmitglieder zuweisen, ändern und widerrufen.

Berechtigungen für bedingten Zugriff konfigurieren

Mit IAM Conditions können Sie die bedingte Zugriffssteuerung definieren und erzwingen.

Mit der folgenden Bedingung wird einem Hauptkonto beispielsweise bis zu einem bestimmten Datum die Rolle datastore.user zugewiesen:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Informationen zum Definieren von IAM-Bedingungen für den temporären Zugriff finden Sie unter Temporären Zugriff konfigurieren.

Informationen zum Konfigurieren von IAM Conditions für den Zugriff auf eine oder mehrere Datenbanken finden Sie unter Datenbankzugriffsbedingungen konfigurieren.

Nächste Schritte

• Mehr über IAM erfahren
• IAM-Rollen zuweisen
• Weitere Informationen zur Authentifizierung