Seguridad para las bibliotecas cliente del servidor

Cuando usas las bibliotecas cliente del servidor para Firestore, puedes administrar los recursos con administración de identidades y accesos (IAM). IAM te permite otorgar acceso más detallado a recursos Google Cloud específicos y evita el acceso no deseado a otros recursos. En esta página, se describen las funciones y los permisos de IAM para Firestore. Para ver una descripción detallada de IAM, lee la documentación de IAM.

IAM te permite adoptar el principio de seguridad de menor privilegio, de manera que solo otorgues el acceso necesario a tus recursos.

IAM te permite configurar políticas para controlar quién (usuario) tiene qué (función) permiso para qué recursos. Las políticas de IAM asignan una o más funciones a un usuario, lo que le otorga ciertos permisos. Por ejemplo, puedes asignar la función datastore.indexAdmin a un usuario, lo que le permite crear, modificar, borrar, mostrar o ver índices.

Permisos y funciones

En esta sección, se resumen los permisos y las funciones que admite Firestore.

Permisos obligatorios para los métodos de API

La siguiente tabla muestra los permisos que debe tener el emisor para ejecutar cada acción:

Funciones predefinidas

Con la IAM, cada método de API en Firestore exige que la cuenta que envía la solicitud a la API tenga los permisos apropiados para usar el recurso. Para otorgar los permisos, se configuran políticas que asignan funciones a un usuario, un grupo o una cuenta de servicio. Además de las funciones básicas, propietario, editor y lector, puedes otorgar funciones de Firestore a los usuarios del proyecto.

En la siguiente tabla, se muestran las funciones de IAM para Firestore. Puedes asignar varias funciones a un usuario, un grupo o una cuenta de servicio.

Funciones personalizadas

Si los roles predefinidos no responden a tus requisitos comerciales, puedes definir tus propios roles personalizados con los permisos que especifiques:

• Obtén información sobre las funciones personalizadas.
• Crea y administra funciones personalizadas.

Roles obligatorios para crear y administrar etiquetas

Si alguna etiqueta está representada en las acciones de creación o restablecimiento, se requieren algunos roles. Consulta Crea y administra etiquetas para obtener más detalles sobre cómo crear pares clave-valor de etiquetas antes de asociarlos a los recursos de la base de datos.

Se requieren los siguientes permisos.

Visualiza etiquetas

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Administra etiquetas en los recursos

Se requiere el siguiente permiso para el recurso de base de datos al que adjuntas el valor de la etiqueta.

• datastore.databases.createTagBinding

Permisos

En la siguiente tabla, se enumeran los permisos que admite Firestore.

Latencia del cambio de funciones

Firestore almacena los permisos de IAM en caché durante 5 minutos, por lo que un cambio de función tarda hasta 5 minutos en aplicarse.

Administra IAM de Firestore

Puedes obtener y configurar políticas de IAM con la Google Cloud consola, la API de IAM o la herramienta de línea de comandos degcloud. Consulta cómo otorgar, cambiar y revocar el acceso de los miembros del proyecto para ver detalles.

Configura permisos de acceso condicional

Puedes usar las condiciones de IAM para definir y aplicar el control de acceso condicional.

Por ejemplo, la siguiente condición asigna a un principal el rol datastore.user hasta una fecha especificada:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Si quieres obtener información para definir condiciones de IAM para el acceso temporal, consulta Configura el acceso temporal.

Si quieres obtener información para configurar condiciones de IAM para el acceso a una o más bases de datos, consulta Cómo configurar condiciones de acceso a la base de datos.

Dependencia de las reglas de seguridad en IAM

Las reglas de seguridad de Firestore para clientes de dispositivos móviles o la Web dependen de la siguiente vinculación de IAM y la cuenta de servicio:

Firebase configura esta cuenta de servicio de forma automática. Si quitas la función firebaserules.system de esta cuenta de servicio, las reglas de seguridad rechazarán todas las solicitudes. Para restablecer esta vinculación de IAM, usa el siguiente comando de la CLI de gcloud:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

Para determinar el project_id y el project_number, consulta Identifica proyectos.

Usa Google Cloud CLI en lugar de la consola de Google Cloud , ya que el rol defirebaserules.systemestá oculto en la consola de forma predeterminada.

¿Qué sigue?

• Obtén más información sobre IAM.
• Asigna funciones de IAM.
• Obtén más información sobre la autenticación.