伺服器用戶端程式庫的安全性

使用 Firestore 的伺服器用戶端程式庫時，您可以透過身分與存取權管理 (IAM) 服務，管理資源的存取權。IAM 可讓您以更精細的方式授予特定 Google Cloud 資源的存取權，避免其他資源遭到未經授權者擅自存取。本頁面說明 Firestore 的 IAM 權限和角色。如需 IAM 的詳細說明，請參閱 IAM 說明文件。

IAM 可讓您採取最低權限的安全性原則，僅將必要的資源存取權限授予使用者。

設定 IAM 政策之後，即可控管哪些使用者具備何種角色權限，可以存取哪些資源。身分與存取權管理政策可將一或多個角色授予使用者，讓對方擁有特定權限。舉例來說，您可以將 datastore.indexAdmin 角色授予使用者，讓該使用者能夠建立、修改、刪除、列出或查看索引。

權限與角色

本節概述 Firestore 支援的權限與角色。

API 方法的所需權限

下表列出呼叫者執行各項操作時必須具備的權限：

預先定義的角色

若使用 IAM，Firestore 中的每一種 API 方法均要求提出 API 要求的帳戶必須具備使用該項資源的適當權限。只要設定政策將角色授予使用者、群組或服務帳戶，即可授予權限。除了原始角色 (即擁有者、編輯者和檢視者) 外，您還可以將 Firestore 角色授予專案使用者。

下表列出 Firestore IAM 角色。您可以將多個角色授予使用者、群組或服務帳戶。

自訂角色

如果預先定義的角色無法滿足您的業務需求，您可以使用自訂角色，並設定這些角色的權限：

• 瞭解自訂角色。
• 建立及管理自訂角色。

建立及管理標記所需的角色

如果任何標籤出現在建立或還原動作中，則需要某些角色。如要進一步瞭解如何建立標記鍵/值組合，然後將其與資料庫資源建立關聯，請參閱「建立及管理標記」。

必須具備下列權限。

查看代碼

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

管理資源標記

您必須具備下列權限，才能為資料庫資源附加標記值。

• datastore.databases.createTagBinding

權限

下表列出 Firestore 支援的權限。

角色變更延遲

Firestore 快取 IAM 權限的時間是 5 分鐘，因此，角色變更約需 5 分鐘才會生效。

管理 Firestore IAM

您可以使用 Google Cloud 主控台、IAM API 或 gcloud 指令列工具取得及設定 IAM 政策。詳情請參閱授予、變更及撤銷專案成員存取權限的說明。

設定條件式存取權限

您可以使用 IAM 條件定義及強制執行條件式存取權控管。

舉例來說，下列條件會指派主體 datastore.user 角色，直到指定日期為止：

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

如要瞭解如何定義暫時存取權的 IAM 條件，請參閱設定暫時存取權。

如要瞭解如何為一或多個資料庫的存取權設定 IAM 條件，請參閱「設定資料庫存取條件」。

安全規則對 IAM 的依附元件

行動/網路用戶端的 Firestore 安全性規則取決於下列服務帳戶和 IAM 繫結：

Firebase 會自動為您設定這個服務帳戶。如果從這個服務帳戶移除 firebaserules.system 角色，安全規則就會拒絕所有要求。如要還原這項 IAM 繫結，請使用下列 gcloud CLI 指令：

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

如要判斷 project_id 和 project_number，請參閱「識別專案」。

請使用 Google Cloud CLI，而非 Google Cloud 控制台，因為firebaserules.system 角色預設會在控制台中隱藏。

後續步驟

• 進一步瞭解身分與存取權管理。
• 授予 IAM 角色。
• 瞭解驗證。