Identity and Access Management (IAM)

IAM 允许您采用最小权限安全原则，因此您只需授予对您的资源的必要访问权限即可。

IAM 允许您通过设置 IAM 策略来控制谁（用户）对哪些资源具有什么（角色）权限。您可以使用 IAM 政策向用户授予一个或多个角色，给予用户某些权限。例如，您可以向用户授予 datastore.indexAdmin 角色，允许用户创建、修改、删除、列出或查看索引。

权限和角色

本部分概况了 Firestore 支持的权限和角色。

API 方法所需的权限

下表列出了调用者执行各个操作所必需的权限：

预定义角色

有了 IAM，Firestore 中的每个 API 方法都要求提出 API 请求的账号具有使用相应资源的适当权限。您可以通过设置向用户、群组或服务账号授予角色的政策来授予权限。除了所有者、编辑者和查看者这些基本角色外，您还可以向您的项目的用户授予 Firestore 角色。

下表列出了 Firestore IAM 角色。您可以向用户、群组或服务账号授予多个角色。

自定义角色

如果预定义角色不能满足您的独特业务需求，您可以使用指定的权限定义自己的自定义角色：

• 了解自定义角色。
• 创建和管理自定义角色。

权限

下表列出了 Firestore 支持的权限。

角色更改延迟时间

Firestore 会将 IAM 权限缓存 5 分钟，因此角色更改最多需要 5 分钟才会生效。

管理 Firestore IAM

您可以使用 Google Cloud 控制台、IAM API 或 gcloud 命令行工具来获取和设置 IAM 政策。如需了解详情，请参阅授予、更改和撤消项目成员的访问权限。

配置条件式访问权限

您可以使用 IAM Conditions 定义和强制执行有条件的访问权限控制。

例如，以下条件会在指定日期之前向主账号分配 datastore.user 角色：

{
  "role": "roles/datastore.user",
  "members": [
    "user:[email protected]"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

如需了解如何为临时访问权限定义 IAM Conditions 条件，请参阅配置临时访问权限。

如需了解如何配置 IAM Conditions 以访问一个或多个数据库，请参阅配置数据库访问条件。

后续步骤

• 详细了解 IAM。
• 授予 IAM 角色。
• 了解身份验证。