App Engine 要求

之前,所有 Datastore 模式 Firestore 数据库都与 App Engine 应用相关联。关联后,您的数据库需要在同一项目中具有处于活跃状态的 App Engine 应用。如果没有活跃的 App Engine 应用,对数据库的读写权限将被停用。

现在,默认情况下,Datastore 模式数据库与 App Engine 解除关联。

如果您的数据库与 App Engine 相关联,您可以解除与数据库的关联。

活跃的 App Engine

处于活跃状态的 App Engine 应用表示同一项目中存在一个应用,并且此应用未停用。它不要求该应用有任何使用。关联的应用和数据库必须位于同一区域。

如果停用 App Engine 应用,则还会禁止访问与该应用关联的 Datastore 模式数据库。

您可以使用 REST API 检查 App Engine 解除关联状态:

curl  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
--header "Content-type: application/json" \
"https://firestore.googleapis.com/v1/projects/PROJECT_ID/databases/(default)"

在响应中,查看 appEngineIntegrationMode 的值。如果值为 DISABLED,则表示您的数据库未与 App Engine 应用关联。

您可以解除 Datastore 模式数据库与 App Engine 应用之间的关联,从而移除有效的 App Engine 要求。解除与数据库的关联时,您可以停用 App Engine,而不会影响对数据库的访问。

解除关联是一项永久性操作。

如果解除与数据库的关联,则无法使用 Datastore Admin 页面中的停用写入功能。如果写入当前已停用,解除与数据库的关联将会启用写入。

在解除数据库与 App Engine 的关联之前,请确保启用 Firestore API 并更新您的 IAM 权限

如需解除与数据库的关联,请转到 Datastore Admin 页面,然后点击解除数据库与应用的关联。解除关联操作最多可能需要五分钟才能生效。

转到 Datastore Admin

迁移 Terraform App Engine 资源

如果您之前通过 google_app_engine_application Terraform 资源管理 Datastore 模式数据库,则可以改用 google_firestore_database Terraform 资源。

如需了解有关通过 Terraform 管理 Datastore 模式数据库的一般说明,请参阅自动创建数据库

创建 google_firestore_database 资源

在 Terraform 配置文件中,创建一个新的 google_firestore_database 资源:

datastore.tf

resource "google_firestore_database" "database" {
  project     = "project"
  name        = "(default)"
  location_id = "location"

  type = "DATASTORE_MODE"

  app_engine_integration_mode = "DISABLED"

  // Optional, but recommended for safety
  delete_protection_state = "DELETE_PROTECTION_ENABLED"
}

如需查看可用位置的列表,请参阅 Datastore 位置。选择与您现有数据库的位置相对应的位置。

导入现有的 Datastore 模式数据库

首先,确保已启用 Firestore API

接下来,将现有的 Datastore 模式数据库导入您的 Terraform 状态:

terraform import google_firestore_database.database "(default)"

然后运行:

terraform plan

检查输出,确保导入已成功完成。如果输出显示任何字段正在更改,请确保这些更改是有意为之。如果输出包含类似于以下内容的行:

google_firestore_database.database must be replaced

然后检查您的 Terraform 配置文件,看看是否存在任何错误,特别是 projectlocationname 字段中的错误,然后再次运行 terraform plan。在方案输出中,需要 Terraform 替换数据库的所有字段都将带有 # forces replacement 标记。

如果您对 Terraform 计划输出感到满意,请运行以下命令:

terraform apply

移除 google_app_engine_application 资源

如果您的 Terraform 配置文件中已有 google_app_engine_application 资源,请立即将其从该文件中移除。

然后,再次运行以下命令:

terraform plan

您将看到如下所示的输出:

Terraform will perform the following actions:

  # google_app_engine_application.app will be destroyed
  # (because google_app_engine_application.app is not in configuration)

如果您对计划输出感到满意,请运行以下命令:

terraform apply

Terraform 目前不支持删除 App Engine 资源;虽然 Terraform 会将资源显示为正在销毁,但实际上并不会删除 App Engine 应用。但是,App Engine 应用将不再由 Terraform 管理。

Firestore API 要求

以前,所有 Datastore 模式 Firestore 数据库都关联到 App Engine 应用。默认情况下,Datastore 模式数据库现在预配为与 App Engine 解除关联。此外,所有数据库(包括现有数据库和新创建的数据库)现在都有以下要求:

  • 如需通过 Google Cloud 控制台和 gcloud CLI 管理数据库,必须在项目中启用 Firestore API。原生模式 Firestore 和 Datastore 模式 Firestore 数据库都必须满足此要求。
  • 通过 Google Cloud 控制台或 gcloud CLI 执行时,以下管理操作将需要以下 IAM 权限:

    • 创建数据库:datastore.databases.create
    • 查看数据库元数据:datastore.databases.getMetadata
    • 修改数据库元数据:datastore.databases.update

如果您尚未启用 Firestore API,则会在 Google Cloud 控制台的 Datastore 页面中看到一条错误,其中包括以下通知:

必须使用 Firestore API 才能管理您的数据库。

此错误还包括一个用于启用 Firestore API 的按钮。点击该按钮即可启用 API。

您还应验证 IAM 权限,以确保您对数据库的访问不受影响。

验证通过 Google Cloud 控制台访问数据库的帐号是否具有上面列出的所需权限。

预定义角色(如 Datastore UserDatastore Viewer)包含所需的权限。如果您创建了任何自定义 IAM 角色,则可能需要更新这些角色以包含上述权限。

如果您之前为 Datastore 定义了自定义角色,则该角色可能缺少 datastore.databases.getMetadata 权限。使用 datastore.databases.getMetadata 更新自定义角色或使用预定义角色,确保持续访问。

通过 Terraform 启用 API

如果您愿意,还可以通过 Terraform 启用 Firestore API:

resource "google_project_service" "firestore" {
  project = "project"
  service = "firestore.googleapis.com"
}

如果您有 google_firestore_database 资源,则可以添加对 google_project_service 资源的依赖项,以确保在 Terraform 尝试创建数据库之前启用 API:

resource "google_firestore_database" "database" {
  // ...
  depends_on = [google_project_service.firestore]
}