Identity and Access Management (IAM)

IAM vous permet d'adopter le principe de sécurité du moindre privilège afin de n'accorder que l'accès nécessaire à vos ressources.

En définissant des stratégies IAM, vous pouvez contrôler qui (utilisateur) dispose de quelle autorisation (rôle) et sur quelles ressources. Les stratégies IAM attribuent un ou plusieurs rôles à un utilisateur, ce qui lui confère certaines autorisations. Par exemple, vous pouvez attribuer le rôle datastore.indexAdmin à un utilisateur, ce qui lui permet de créer, modifier, supprimer, répertorier ou afficher des index.

Autorisations et rôles

Dans cette section, vous trouverez un récapitulatif des autorisations et des rôles pris en charge par Firestore.

Autorisations requises pour les méthodes API

Le tableau suivant répertorie les autorisations dont l'appelant doit disposer pour effectuer chaque action :

Rôles prédéfinis

Pour pouvoir utiliser toutes les méthodes de l'API avec Firestore dans IAM, le compte effectuant les requêtes d'API doit disposer d'autorisations appropriées pour utiliser la ressource. Ces autorisations sont attribuées en définissant des stratégies qui accordent des rôles à un utilisateur, un groupe ou un compte de service. En plus des rôles primitifs Propriétaire, Éditeur et Lecteur, vous pouvez attribuer des rôles Firestore aux utilisateurs de votre projet.

Le tableau suivant répertorie les rôles IAM de Firestore. Vous pouvez attribuer plusieurs rôles à un utilisateur, un groupe ou un compte de service.

Rôles personnalisés

Si les rôles prédéfinis ne répondent pas aux besoins de votre entreprise, vous pouvez définir vos propres rôles personnalisés et leur accorder les autorisations de votre choix.

• Apprenez-en plus sur les rôles personnalisés.
• Créez et gérez des rôles personnalisés.

Autorisations

Le tableau suivant répertorie les autorisations compatibles avec Firestore.

Latence de modification d'un rôle

Firestore met en cache les autorisations IAM pendant cinq minutes. La modification d'un rôle est appliquée dans ce même laps de temps.

Gérer Firestore IAM

Vous pouvez obtenir et définir des stratégies IAM à l'aide de la console Google Cloud , de l'API IAM ou de l'outil de ligne de commande gcloud. Pour en savoir plus, consultez la section Attribuer, modifier et révoquer les accès des membres du projet.

Configurer les autorisations d'accès conditionnel

Vous pouvez utiliser les conditions IAM pour définir et appliquer un contrôle d'accès conditionnel.

Par exemple, la condition suivante attribue le rôle datastore.user à un principal jusqu'à une date spécifiée:

{
  "role": "roles/datastore.user",
  "members": [
    "user:[email protected]"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

Pour savoir comment définir des conditions IAM pour un accès temporaire, consultez la section Configurer un accès temporaire.

Pour savoir comment configurer des conditions IAM pour l'accès à une ou plusieurs bases de données, consultez la page Configurer des conditions d'accès aux bases de données.

Étape suivante

• Apprenez-en plus sur IAM.
• Accorder des rôles IAM
• Obtenez plus d'informations sur l'authentification.