Kimlik ve Erişim Yönetimi (IAM)

Cloud Firestore için sunucu istemci kitaplıklarını kullandığınızda Identity and Access Management (IAM) ile kaynaklarınıza erişimi yönetebilirsiniz. IAM, belirli Google Cloud kaynaklarına daha ayrıntılı erişim izni vermenize olanak tanır ve diğer kaynaklara istenmeyen erişimi engeller. Bu sayfada, Cloud Firestore için IAM izinleri ve rolleri açıklanmaktadır. IAM'nin ayrıntılı açıklaması için IAM belgelerini inceleyin.

IAM, en az ayrıcalık ilkesi güvenlik ilkesini benimsemenize olanak tanır. Böylece kaynaklarınıza yalnızca gerekli erişimi verirsiniz.

IAM, IAM politikaları ayarlayarak hangi kaynaklar için kimin (kullanıcı) hangi (rol) izne sahip olduğunu kontrol etmenize olanak tanır. IAM politikaları, bir kullanıcıya bir veya daha fazla rol vererek kullanıcıya belirli izinler tanır. Örneğin, bir kullanıcıya datastore.indexAdmin rolü atayabilirsiniz. Bu rol, kullanıcının dizin oluşturmasına, değiştirmesine, silmesine, listelemesine veya görüntülemesine olanak tanır.

İzinler ve roller

Bu bölümde, Cloud Firestore tarafından desteklenen izinler ve roller özetlenmektedir.

API yöntemleri için gerekli izinler

Aşağıdaki tabloda, arayanın her işlemi gerçekleştirmek için sahip olması gereken izinler listelenmiştir:

Önceden tanımlanmış roller

IAM ile Cloud Firestore her API yönteminde, API isteğinde bulunan hesabın kaynağı kullanmak için uygun izinlere sahip olması gerekir İzinler, kullanıcıya, gruba veya hizmet hesabına roller veren politikalar ayarlanarak verilir. Temel roller olan sahip, düzenleyici ve görüntüleyici rollerine ek olarak, projenizin kullanıcılarına Cloud Firestore rolleri de verebilirsiniz.

Aşağıdaki tabloda Cloud Firestore IAM rolleri listelenmiştir. Bir kullanıcıya, gruba veya hizmet hesabına birden fazla rol verebilirsiniz.

Özel rol sayısı

Önceden tanımlanmış roller işletme gereksinimlerinizi karşılamıyorsa belirttiğiniz izinlerle kendi özel rollerinizi tanımlayabilirsiniz:

• Özel roller hakkında bilgi edinin.
• Özel roller oluşturma ve yönetme

Etiket oluşturmak ve yönetmek için gereken roller

Oluşturma veya geri yükleme işlemlerinde herhangi bir etiket varsa bazı roller gereklidir. Etiketleri veritabanı kaynaklarıyla ilişkilendirmeden önce etiket anahtar/değer çiftleri oluşturma hakkında daha fazla bilgi için Etiket oluşturma ve yönetme başlıklı makaleyi inceleyin.

Aşağıda listelenen izinler gereklidir.

Etiketleri görüntüle

• datastore.databases.listTagBindings
• datastore.databases.listEffectiveTags

Kaynaklardaki etiketleri yönetme

Etiket değerini eklediğiniz veritabanı kaynağı için aşağıdaki izin gereklidir.

• datastore.databases.createTagBinding

İzinler

Aşağıdaki tabloda, Cloud Firestore tarafından desteklenen izinler listelenmiştir.

Rol değişikliği gecikmesi

Cloud Firestore, IAM izinlerini 5 dakika boyunca önbelleğe alır. Bu nedenle, rol değişikliğinin geçerli olması 5 dakikayı bulabilir.

Cloud Firestore IAM'yi yönetme

Google Cloud Console, IAM API veya gcloud komut satırı aracını kullanarak IAM politikalarını alabilir ve ayarlayabilirsiniz. Ayrıntılar için Proje üyelerine erişim verme, erişimi değiştirme ve erişimi iptal etme başlıklı makaleyi inceleyin.

Koşullu erişim izinlerini yapılandırma

Koşullu erişim denetimini tanımlamak ve zorunlu kılmak için IAM koşullarını kullanabilirsiniz.

Örneğin, aşağıdaki koşul, belirtilen tarihe kadar bir asile datastore.user rolünü atar:

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Geçici erişim için IAM koşullarını nasıl tanımlayacağınızı öğrenmek istiyorsanız Geçici erişimi yapılandırma başlıklı makaleyi inceleyin.

Bir veya daha fazla veritabanına erişim için IAM koşullarını nasıl yapılandıracağınızı öğrenmek istiyorsanız Veritabanı erişim koşullarını yapılandırma başlıklı makaleyi inceleyin.

Güvenlik kuralının IAM'ye bağımlılığı

Mobil/web istemcileri için Cloud Firestore Security Rules, aşağıdaki hizmet hesabına ve IAM bağlamasına bağlıdır:

Firebase bu hizmet hesabını sizin için otomatik olarak oluşturur. Bu hizmet hesabından firebaserules.system rolünü kaldırırsanız güvenlik kurallarınız tüm istekleri reddeder. Bu IAM bağlamasını geri yüklemek için aşağıdaki gcloud CLI komutunu kullanın:

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

project_id ve project_number değerlerinizi belirlemek için Projeleri tanımlama başlıklı makaleye bakın.

Google Cloud Console yerine Google Cloud CLI rolünü kullanın. Çünkü firebaserules.system rolü, konsolda varsayılan olarak gizlidir.

Sırada ne var?

• IAM hakkında daha fazla bilgi edinin.
• IAM rolleri verme.
• Kimlik doğrulama hakkında bilgi edinin.