このページは Cloud Translation API によって翻訳されました。

サーバークライアントライブラリのセキュリティ

Firestore 用のサーバークライアントライブラリを使用する場合は、Identity and Access Management（IAM）によってリソースへのアクセスを管理できます。 IAM を使用すると、特定の Google Cloud リソースに対するアクセス権を詳細に設定でき、他のリソースへの不要なアクセスを防止できます。このページでは、Firestore の IAM 権限とロールについて説明します。IAM の詳細については、IAM のドキュメントをご覧ください。

IAM を使用すると、セキュリティに関する最小権限の原則を導入できるため、リソースに対する必要なアクセス権のみを付与できます。

IAM では、IAM ポリシーを設定することで、誰（どのユーザー）に、どのリソースに対するどのアクセス権（ロール）を付与するかを制御できます。IAM ポリシーは 1 つ以上のロールをユーザーに付与することで、そのユーザーに特定の権限を与えます。たとえば、datastore.indexAdmin のロールを付与されたユーザーは、インデックスの作成、変更、削除、一覧表示、表示を行うことができます。

権限とロール

このセクションでは、Firestore でサポートされている権限とロールの概要について説明します。

API メソッドに必要な権限

次の表に、各アクションを実行するために呼び出し元に必要な権限を示します。

メソッド	必要な権限
`projects.databases.documents`
`batchGet`	`datastore.entities.get`
`batchWrite`（exists 前提条件を `false` に設定した更新または変換）	`datastore.entities.create`
`batchWrite`（exists 前提条件を `true` に設定した更新または変換）	`datastore.entities.create`
`batchWrite`（前提条件なしの更新または変換）	`datastore.entities.create datastore.entities.update`
`beginTransaction`	`datastore.databases.get`
`commit`（exists 前提条件を `false` に設定した更新または変換）	`datastore.entities.create`
`commit`（exists 前提条件を `true` に設定した更新または変換）	`datastore.entities.update`
`commit`（前提条件なしの更新または変換）	`datastore.entities.create datastore.entities.update`
`commit`（削除）	`datastore.entities.delete`
`createDocument`	`datastore.entities.create`
`delete`	`datastore.entities.delete`
`get`	`datastore.entities.get`
`list`	`datastore.entities.get` `datastore.entities.list`
`listCollectionIds`	`datastore.entities.list`
`partitionQuery`	`datastore.entities.get datastore.entities.list`
`patch`	`datastore.entities.update`
`rollback`	`datastore.databases.get`
`runAggregationQuery`	`datastore.entities.get datastore.entities.list`
`runQuery`	`datastore.entities.get datastore.entities.list`
`write (RPC)`（exists 前提条件を `false` に設定した更新または変換）	`datastore.entities.create`
`write (RPC)`（exists 前提条件を `true` に設定した更新または変換）	`datastore.entities.update`
`write (RPC)`（前提条件なしの更新または変換）	`datastore.entities.create datastore.entities.update`
`write (RPC)`（削除）	`datastore.entities.delete`
`projects.databases.indexes`
`create`	`datastore.indexes.create`
`delete`	`datastore.indexes.delete`
`get`	`datastore.indexes.get`
`list`	`datastore.indexes.list`
`projects.databases`
`create`	`datastore.databases.create` `create` リクエストに `tags` 値が含まれている場合は、次の追加の権限が必要です。 `datastore.databases.createTagBinding` バインディングを一覧表示してタグバインディングが正常に設定されているかどうかを確認する場合は、次の追加の権限が必要です。 `datastore.databases.listTagBindings` `datastore.databases.listEffectiveTags`
`delete`	`datastore.databases.delete`
`get`	`datastore.databases.getMetadata`
`list`	`datastore.databases.list`
`patch`	`datastore.databases.update`
restore	`datastore.backups.restoreDatabase`
`clone`	`datastore.databases.clone` `clone` リクエストに `tags` 値が含まれている場合は、次の追加の権限が必要です。 `datastore.databases.createTagBinding` バインディングを一覧表示してタグバインディングが正常に設定されているかどうかを確認する場合は、次の追加の権限が必要です。 `datastore.databases.listTagBindings` `datastore.databases.listEffectiveTags`
`projects.locations`
`get`	`datastore.locations.get`
`list`	`datastore.locations.list`
`projects.databases.backupschedules`
get	`datastore.backupSchedules.get`
list	`datastore.backupSchedules.list`
create	`datastore.backupSchedules.create`
update	`datastore.backupSchedules.update`
delete	`datastore.backupSchedules.delete`
`projects.locations.backups`
get	`datastore.backups.get`
list	`datastore.backups.list`
delete	`datastore.backups.delete`

事前定義ロール

Firestore の API メソッドを使用して API リクエストを発行するアカウントには、リソースを使用するための適切な権限が IAM で付与されている必要があります。権限は、ユーザー、グループ、またはサービスアカウントにロールを付与するポリシーを設定することで付与されます。基本ロールであるオーナー、編集者、閲覧者に加えて、Firestore のロールをプロジェクトのユーザーに与えることができます。

次の表に、Firestore の IAM ロールを示します。1 つのユーザー、グループ、またはサービスアカウントに複数のロールを付与できます。

ロール	権限	説明
`roles/datastore.owner`	`appengine.applications.get` `datastore.*` `resourcemanager.projects.get` `resourcemanager.projects.list`	Firestore に対する完全アクセス権。
`roles/datastore.user`	`appengine.applications.get` `datastore.databases.get` `datastore.databases.getMetadata` `datastore.databases.list` `datastore.entities.*` `datastore.indexes.list` `datastore.namespaces.get` `datastore.namespaces.list` `datastore.statistics.get` `datastore.statistics.list` `resourcemanager.projects.get` `resourcemanager.projects.list`	Firestore データベース内のデータに対する読み取り / 書き込みアクセス権。アプリケーションデベロッパーとサービスアカウント向け。
`roles/datastore.viewer`	`appengine.applications.get` `datastore.databases.get` `datastore.databases.getMetadata` `datastore.databases.list` `datastore.entities.get` `datastore.entities.list` `datastore.indexes.get` `datastore.indexes.list` `datastore.namespaces.get` `datastore.namespaces.list` `datastore.statistics.get` `datastore.statistics.list` `resourcemanager.projects.get` `resourcemanager.projects.list` `datastore.insights.get`	すべての Firestore リソースに対する読み取りアクセス権。
`roles/datastore.importExportAdmin`	`appengine.applications.get` `datastore.databases.export` `datastore.databases.getMetadata` `datastore.databases.import` `datastore.operations.cancel` `datastore.operations.get` `datastore.operations.list` `resourcemanager.projects.get` `resourcemanager.projects.list`	インポートとエクスポートを管理するための完全アクセス権。
`roles/datastore.bulkAdmin`	`resourcemanager.projects.get` `resourcemanager.projects.list` `datastore.databases.getMetadata` `datastore.databases.bulkDelete` `datastore.operations.cancel` `datastore.operations.get` `datastore.operations.list`	一括オペレーションの管理に必要な完全アクセス権。
`roles/datastore.indexAdmin`	`appengine.applications.get` `datastore.databases.getMetadata` `datastore.indexes.*` `datastore.operations.list` `datastore.operations.get` `resourcemanager.projects.get` `resourcemanager.projects.list`	インデックスの定義を管理する完全アクセス権
`roles/datastore.keyVisualizerViewer`	`datastore.databases.getMetadata` `datastore.keyVisualizerScans.get` `datastore.keyVisualizerScans.list` `resourcemanager.projects.get` `resourcemanager.projects.list`	Key Visualizer スキャンに対する完全アクセス権。
`roles/datastore.backupSchedulesViewer`	`datastore.backupSchedules.get` `datastore.backupSchedules.list`	Firestore データベースのバックアップスケジュールに対する読み取りアクセス権。
`roles/datastore.backupSchedulesAdmin`	`datastore.backupSchedules.get` `datastore.backupSchedules.list` `datastore.backupSchedules.create` `datastore.backupSchedules.update` `datastore.backupSchedules.delete` `datastore.databases.list` `datastore.databases.getMetadata`	Firestore データベースのバックアップスケジュールに対する完全アクセス権。
`roles/datastore.backupsViewer`	`datastore.backups.get` `datastore.backups.list`	Firestore のロケーション内のバックアップ情報への読み取りアクセス権。
`roles/datastore.backupsAdmin`	`datastore.backups.get` `datastore.backups.list` `datastore.backups.delete`	Firestore のロケーション内のバックアップに対する完全アクセス権。
`roles/datastore.restoreAdmin`	`datastore.backups.get` `datastore.backups.list` `datastore.backups.restoreDatabase` `datastore.databases.list` `datastore.databases.create` `datastore.databases.getMetadata` `datastore.operations.list` `datastore.operations.get`	Firestore バックアップを新しいデータベースに復元する機能。また、このロールによって、新しいバックアップを作成できるようになります。バックアップから復元する必要はありません。
`roles/datastore.cloneAdmin`	`datastore.databases.clone` `datastore.databases.list` `datastore.databases.create` `datastore.databases.getMetadata` `datastore.operations.list` `datastore.operations.get`	Firestore データベースを新しいデータベースにクローン作成する機能。また、このロールによって、新しいバックアップを作成できるようになります。クローンを作成する必要はありません。
`roles/datastore.statisticsViewer`	`resourcemanager.projects.get` `resourcemanager.projects.list` `datastore.databases.getMetadata` `datastore.insights.get` `datastore.keyVisualizerScans.get` `datastore.keyVisualizerScans.list` `datastore.statistics.list` `datastore.statistics.get`	分析情報、統計、Key Visualizer スキャンに対する読み取りアクセス権。

カスタムロール

事前定義されたロールがビジネス要件に合っていない場合は、指定した権限を含むカスタムロールを独自に定義できます。

タグの作成と管理に必要なロール

作成アクションまたは復元アクションでタグが表される場合は、一部のロールが必要です。データベースリソースに関連付ける前にタグの Key-Value ペアを作成する方法については、タグの作成と管理をご覧ください。

次の権限が必要です。

タグを表示

datastore.databases.listTagBindings
datastore.databases.listEffectiveTags

リソースのタグを管理する

タグ値を適用するデータベースリソースには、次の権限が必要です。

datastore.databases.createTagBinding

権限

次の表に、Firestore でサポートされる権限を示します。

データベースの権限名	説明
`datastore.databases.get`	トランザクションを開始またはロールバックします。
`datastore.databases.import`	データベースにエンティティをインポートします。
`datastore.databases.export`	データベースからエンティティをエクスポートします。
`datastore.databases.bulkDelete`	データベースからエンティティを一括削除します。
`datastore.databases.getMetadata`	データベースからメタデータを読み取ります。
`datastore.databases.list`	プロジェクト内のデータベースを一覧表示します。
`datastore.databases.create`	データベースを作成します。
`datastore.databases.update`	データベースを更新します。
`datastore.databases.delete`	データベースを削除します。
`datastore.databases.clone`	データベースのクローンを作成します。
`datastore.databases.createTagBinding`	データベースのタグバインディングを作成します。
`datastore.databases.deleteTagBinding`	データベースのタグバインディングを削除します。
`datastore.databases.listTagBindings`	データベースのすべてのタグバインディングを一覧表示します。
`datastore.databases.listEffectiveTagBindings`	データベースの有効なタグバインディングを一覧表示します。
エンティティの権限名	説明
`datastore.entities.create`	ドキュメントを作成します。
`datastore.entities.delete`	ドキュメントを削除します。
`datastore.entities.get`	ドキュメントを取得します。
`datastore.entities.list`	プロジェクト内のドキュメントの名前を一覧表示します。（ドキュメントデータへのアクセスには `datastore.entities.get` が必要です。）
`datastore.entities.update`	ドキュメントを更新します。
インデックスの権限名	説明
`datastore.indexes.create`	インデックスを作成します。
`datastore.indexes.delete`	インデックスを削除します。
`datastore.indexes.get`	インデックスからメタデータを読み取ります。
`datastore.indexes.list`	プロジェクト内のインデックスを一覧表示します。
`datastore.indexes.update`	インデックスを更新します。
オペレーションの権限名	説明
`datastore.operations.cancel`	長時間実行オペレーションをキャンセルします。
`datastore.operations.delete`	長時間実行オペレーションを削除します。
`datastore.operations.get`	長時間実行オペレーションの最新の状態を取得します。
`datastore.operations.list`	長時間実行オペレーションを一覧表示します。
プロジェクトの権限名	説明
`resourcemanager.projects.get`	プロジェクト内のリソースを参照します。
`resourcemanager.projects.list`	所有するプロジェクトをリスト表示します。
ロケーションの権限名	説明
`datastore.locations.get`	データベースの場所の詳細を取得します。新しいデータベースの作成に必要です。
`datastore.locations.list`	使用可能なデータベースの場所を一覧表示します。新しいデータベースの作成に必要です。
Key Visualizer の権限名	説明
`datastore.keyVisualizerScans.get`	Key Visualizer スキャンの詳細を取得します。
`datastore.keyVisualizerScans.list`	使用可能な Key Visualizer スキャンを一覧表示します。
バックアップスケジュールの権限名	説明
`datastore.backupSchedules.get`	バックアップスケジュールの詳細情報を取得します。
`datastore.backupSchedules.list`	使用可能なバックアップスケジュールを一覧表示します。
`datastore.backupSchedules.create`	バックアップスケジュールを作成する
`datastore.backupSchedules.update`	バックアップスケジュールを更新する
`datastore.backupSchedules.delete`	バックアップスケジュールを削除する
バックアップの権限名	説明
`datastore.backups.get`	バックアップの詳細情報を取得します。
`datastore.backups.list`	利用可能なバックアップを一覧表示します。
`datastore.backups.delete`	バックアップを削除します。
`datastore.backups.restoreDatabase`	バックアップからデータベースを復元します。
分析情報の権限名	説明
`datastore.insights.get`	リソースの分析情報を取得する

ロール変更のレイテンシ

Firestore では IAM 権限が 5 分間キャッシュされるため、ロールの変更が有効になるまでに最大 5 分かかります。

Firestore IAM を管理する

IAM ポリシーの取得と設定には、 Google Cloud コンソール、IAM API、gcloud コマンドラインツールを使用できます。詳細については、プロジェクトメンバーに対するアクセス権の付与、変更、取り消しをご覧ください。

条件付きアクセス権限を構成する

IAM Conditions を使用すると、条件付きアクセス制御を定義して適用できます。

たとえば、次の条件では、指定された日付までプリンシパルに datastore.user ロールを割り当てます。

{
  "role": "roles/datastore.user",
  "members": [
    "user:travis@example.com"
  ],
  "condition": {
    "title": "Expires_December_1_2023",
    "description": "Expires on December 1, 2023",
    "expression":
      "request.time < timestamp('2023-12-01T00:00:00.000Z')"
  }
}

一時的なアクセス権の IAM Conditions を定義する方法については、一時的なアクセス権を構成するをご覧ください。

1 つ以上のデータベースへのアクセスに対する IAM Conditions を構成する方法については、データベースアクセス条件を構成するをご覧ください。

IAM へのセキュリティルールの依存関係

モバイルクライアントまたはウェブクライアントの Firestore セキュリティルールは、次のサービスアカウントと IAM バインディングに依存します。

サービスアカウント	IAM ロール
`service-project_number@firebase-rules.iam.gserviceaccount.com`	`roles/firebaserules.system`

このサービスアカウントは Firebase によって自動的に設定されます。このサービスアカウントから firebaserules.system ロールを削除すると、セキュリティルールによってすべてのリクエストが拒否されます。この IAM バインディングを復元するには、次の gcloud CLI コマンドを使用します。

gcloud projects add-iam-policy-binding project_id \
--member=serviceAccount:service-project_number@firebase-rules.iam.gserviceaccount.com \
--role=roles/firebaserules.system

project_id と project_number を確認するには、プロジェクトの識別をご覧ください。

コンソールではなく Google Cloud CLI を使用してください。コンソールでは、デフォルトで firebaserules.system ロールが非表示になるためです。 Google Cloud

次のステップ

IAM の詳細について学習する。
IAM ロールを付与する。
認証について学習する。