プロジェクト間でデータを移動する

このページでは、マネージドインポート機能とマネージドエクスポート機能を使用して Firestore のデータをプロジェクト間で移動する方法を説明します。これは、開発環境を設定する場合やアプリを他のプロジェクトに永久的に移行する場合に役立ちます。このページの例では、ソースプロジェクトからデータをエクスポートし、そのデータを宛先プロジェクトにインポートする方法を示します。プロジェクト間でデータを移動する手順は次のとおりです。

ソースプロジェクトのデータを保持する Cloud Storage バケットを作成します。
ソースプロジェクトのデータをバケットにエクスポートします。
宛先プロジェクトにバケットから読み取りを許可する権限を付与します。
バケットのデータを宛先プロジェクトにインポートします。

準備

マネージドエクスポート / インポートサービスを使用するには、事前に次のタスクを完了する必要があります。

ソースプロジェクトと宛先プロジェクトの両方で課金を有効にします。エクスポート機能とインポート機能を使用できるのは、課金が有効になっている Google Cloud プロジェクトのみです。
注: マネージドエクスポート / インポートサービスを使用するには、Firebase プロジェクトに Blaze プランが設定されている必要があります。Google Cloud の課金を有効にすると、Firebase プロジェクトが自動的に Blaze プランにアップグレードされます。
ソースプロジェクトと宛先プロジェクトで必要な IAM の権限がアカウントに付与されていることを確認します。両方のプロジェクトのプロジェクトオーナーである場合は、アカウントに必要な権限が付与されています。それ以外の場合は、次の IAM ロールで Firestore のエクスポートとインポートオペレーションに必要な権限を付与します。

Owner、Cloud Datastore Owner、または Cloud Datastore Import Export Admin
注: これらのロールでは、Datastore と Firestore の両方に権限を付与できます。
プロジェクトオーナーがアクセスの許可の手順に従ってこれらの役割のいずれかを付与します。
次のいずれかの方法で gcloud コマンドラインツールを設定し、プロジェクトに接続します。
- Cloud Shell を使用して、Google Cloud Console から gcloud にアクセスします。
  
  Cloud Shell の起動
  
  正しいプロジェクトに gcloud が構成されていることを確認します。
```
gcloud config set project [SOURCE_PROJECT_ID]
```
- Google Cloud SDK をインストールして初期化します。
新しいプロジェクトのインデックスを設定します。複合インデックスは、ソースプロジェクトと宛先プロジェクト間で一致する必要があります。各ドキュメントを何度も処理する必要がないように、まずインデックスを設定する必要があります。

ソースプロジェクトからデータをエクスポートする

データをエクスポートするには、Firestore エクスポートファイル用の Cloud Storage バケットを作成し、エクスポートオペレーションを開始します。

Cloud Storage バケットの作成

Firestore データベースと同じロケーションに Cloud Storage バケットを作成します。データベースのロケーションを確認するには、プロジェクトのロケーションの設定をご覧ください。エクスポート / インポートオペレーションには、リクエスト元による支払いバケットは使用できません。

Cloud Storage バケットがソースプロジェクト内に存在しない場合、ソースプロジェクトのデフォルトのサービスアカウントに、バケットへのアクセス権を付与する必要があります。各 Google Cloud プロジェクトには、PROJECT_ID@appspot.gserviceaccount.com という名前のデフォルトのサービスアカウントが自動的に作成されています。Firestore のエクスポートオペレーションでは、Cloud Storage バケットオペレーションの承認にこのデフォルトのサービスアカウントが使用されます。デフォルトのサービスアカウントにソースバケットへのアクセス権を付与するには、Storage Admin 役割を付与します。

Cloud Shell で利用可能な gsutil ツールを使用すると、このロールを付与できます。

Cloud Shell の起動

gsutil iam ch serviceAccount:[service-PROJECT_NUMBER]@gcp-sa-firestore.iam.gserviceaccount.com :roles/storage.admin\
gs://[BUCKET_NAME]@

Google Cloud Console でこのロールを付与することもできます。

書き込みオペレーションを無効にする（省略可）

エクスポートオペレーションの実行中にアプリがデータベースへの書き込みを続けている場合、それらの書き込みのすべてをエクスポートファイルにキャプチャできるわけではありません。一貫した状態からデータをエクスポートするには、セキュリティルールを更新し、Admin SDK 操作を停止することにより、データベースへの書き込みを無効にします。

セキュリティルールを更新する

Firestore コンソールの [ルール] タブで、すべての書き込みを拒否するようにソースプロジェクトのセキュリティルールを更新します。例:

  // Deny write access to all users under any conditions
  service cloud.firestore {
    match /databases/{database}/documents {
      match /{document=**} {
        allow write: if false;
      }
      // Reads do not affect export operations
      // Add your read rules here
    }
  }

Admin SDK からの書き込みを停止する

セキュリティルールでは、Firebase Admin SDK または Google Cloud サーバークライアントライブラリを使用して作成された特権サーバー環境からの書き込みは阻止されません。必ず、サーバーをシャットダウンまたは更新して、管理サーバーからの書き込みオペレーションを停止してください。

エクスポートオペレーションを開始する

ソースプロジェクトからデータをエクスポートするには、gcloud firestore export コマンドを使用します。すべてのデータをエクスポートすることも、特定のコレクションのみをエクスポートすることもできます。[SOURCE_BUCKET] を該当する Cloud Storage バケットの名前に置き換えます。

すべてのデータをエクスポートする

gcloud firestore export gs://[SOURCE_BUCKET] --async

特定のコレクションをエクスポートする

gcloud firestore export gs://[SOURCE_BUCKET] --collection-ids=[COLLECTION_ID_1],[COLLECTION_ID_2] --async

エクスポートオペレーションの outputURIPrefix は後で使用するため、メモしておきます。デフォルトでは、Firestore はタイムスタンプに基づいてエクスポートファイルにプレフィックスを追加します。

outputUriPrefix: gs://[SOURCE_BUCKET]/2019-03-05T20:58:23_56418

エクスポートオペレーション実行時に、firestore operations list コマンドでオペレーションの進行状況を表示できます。

gcloud firestore operations list

宛先プロジェクトにデータをインポートする

次に、宛先プロジェクトに Firestore のデータファイルへのアクセス権を付与し、インポートオペレーションを開始します。

宛先プロジェクトにデータファイルへのアクセス権を付与する

インポートオペレーションを開始する前に、宛先プロジェクトが Firestore のデータファイルにアクセスできることを確認する必要があります。

データファイルをローカルバケットに移動する

ソースバケットのロケーションが宛先プロジェクトの Firestore のロケーションと異なる場合は、データファイルを宛先プロジェクトと同じロケーションに存在する Cloud Storage バケットに移動する必要があります。

バケットの移動と名前変更の手順に従ってデータファイルを他の Cloud Storage バケットに移動します。以下のすべての手順で、新しいバケットを [SOURCE_BUCKET] として使用します。

プロジェクトのサービスアカウントにソースバケットへのアクセス権を付与する

ソースバケットが宛先プロジェクト内に存在しない場合、宛先プロジェクトのデフォルトのサービスアカウントに、ソースバケットへのアクセス権を付与する必要があります。デフォルトのサービスアカウントの名前は、[DESTINATION_PROJECT_ID]@appspot.gserviceaccount.com です。デフォルトのサービスアカウントにソースバケットへのアクセス権を付与するには、バケットにアクセスするための適切な権限を付与します。

Cloud Shell で入手可能な gsutil ツールを使用して必要なロールを付与できます。

Cloud Shell を起動

gsutil iam ch serviceAccount:[DESTINATION_PROJECT_ID]@appspot.gserviceaccount.com:legacyBucketReader,legacyObjectReader \
gs://[SOURCE_BUCKET]

Google Cloud Console でこのロールを付与することもできます。

インポートオペレーションを開始する

インポートオペレーションを開始する前に、gcloud が正しいプロジェクトに構成されていることを確認します。

gcloud config set project [DESTINATION_PROJECT_ID]

gcloud firestore import コマンドを使用して、ソースバケットのデータを宛先プロジェクトにインポートします。

gcloud firestore import gs://[SOURCE_BUCKET]/[EXPORT_PREFIX] --async

[EXPORT_PREFIX] は、エクスポートオペレーションの outputUriPrefix のプレフィックスと一致します。例:

gcloud firestore import gs://[SOURCE_BUCKET]/2019-03-05T20:58:23_56418 --async