Mit Identity and Access Management (IAM) können Sie detaillierte Zugriffsberechtigungen auf bestimmte Firebase- und Google-Ressourcen gewähren und unerwünschten Zugriff auf andere Ressourcen verhindern. Durch IAM haben Sie die Möglichkeit, das Prinzip der geringsten Berechtigung anzuwenden und somit nur den notwendigen Zugriff auf Ihre Ressourcen zu gewähren.
Eine ausführliche Beschreibung von IAM finden Sie in der Google Cloud-IAM-Dokumentation.
Übersicht über Firebase IAM
Firebase bietet zusätzliche IAM-Optionen, die speziell für Firebase-Projekte und Ihre Projektmitglieder gelten.
Wenn ein authentifiziertes Projektmitglied eine Aktion in Firebase anfordert, trifft IAM eine Autorisierungsentscheidung darüber, ob das Projektmitglied die Berechtigung hat, den angeforderten Vorgang für die Ressource auszuführen. Ob das Projektmitglied die Anfrage ausführen darf, hängt von der zugewiesenen Rolle des Projektmitglieds ab. Jede Rolle umfasst eine Reihe von Berechtigungen. Wenn Sie einem Projektmitglied eine Rolle zuweisen, gewähren Sie ihm alle Berechtigungen für diese Rolle.
Projektmitglieder
Mit Firebase IAM weisen Sie Ihren Projektmitgliedern Rollen (und die damit verbundenen Berechtigungen) zu. Projektmitglieder können die folgenden Typen haben:
- Google-Konto
- Dienstkonto
- Google-Gruppe
Rollen
Ihren Projektmitgliedern werden Berechtigungen über Rollen gewährt. Eine Rolle ist eine Sammlung von Berechtigungen. Wenn Sie einem Projektmitglied eine Rolle zuweisen, gewähren Sie ihm alle mit ihr verknüpften Berechtigungen.
Firebase IAM unterstützt die folgenden Rollentypen:
Einfache Rollen: Grundlegende Rollen Inhaber, Bearbeiter und Betrachter (früher als „primitive“ Rollen bezeichnet).
Vordefinierte Rollen: Ausgewählte Firebase-spezifische Rollen, die eine detailliertere Zugriffssteuerung als die einfachen Rollen ermöglichen. Firebase bietet:
Rollen auf Firebase-Ebene: Rollen, die vollständigen Lese-/Schreibzugriff oder Lesezugriff auf alle Firebase-Produkte gewähren.
Produktkategorie-Rollen: Rollen, die vollständigen Lese-/Schreibzugriff oder schreibgeschützten Zugriff auf Produktgruppen gewähren. Sie sind nach Google Analytics und allgemeinen Produktkategorien strukturiert.
Rollen auf Produktebene: Rollen, die vollständigen Lese-/Schreibzugriff oder Lesezugriff auf bestimmte Firebase-Produkte gewähren.
Benutzerdefinierte Rollen: Vollständig benutzerdefinierte Rollen, die Sie erstellen, um eine Reihe von Berechtigungen an die spezifischen Anforderungen Ihrer Organisation anzupassen.
Projektmitglieder und ihre Rollen verwalten
Projektmitglieder und ihre Rollen ansehen
Viele Ihrer Projektmitglieder und deren Rollen können Sie in der Firebase-Konsole auf dem Tab
- In der Firebase-Konsole werden nur Projektmitglieder aufgeführt, denen eine einfache Rolle (Inhaber, Bearbeiter, Betrachter) oder eine vordefinierte Firebase-Rolle zugewiesen ist. Die auf diesem Tab aufgeführten Projektmitglieder sind die einzigen Projektmitglieder, die in der Firebase-Konsole Zugriff auf das Firebase-Projekt haben.
- In der Firebase-Console werden keine Projektmitglieder aufgeführt, die Dienstkonten sind. Sie können diese Projektmitglieder in der Google Cloud Console auf der Seite IAM & Verwaltung > IAM aufrufen.
Alternativ können Sie alle Projektmitglieder und ihre Rollen auf der Seite IAM & Verwaltung > IAM der Google Cloud Console aufrufen.
Einem Projektmitglied eine Rolle zuweisen
Wenn Sie die Rollen verwalten möchten, die den einzelnen Projektmitgliedern zugewiesen sind, müssen Sie Inhaber des Firebase-Projekts sein oder Ihnen muss eine Rolle mit der Berechtigung resourcemanager.projects.setIamPolicy zugewiesen sein.
An diesen Stellen können Sie Rollen zuweisen und verwalten:
-
Die Firebase Console bietet eine vereinfachte Möglichkeit, Projektmitgliedern Rollen zuzuweisen. Dies erfolgt auf dem Tab
Einstellungen > Nutzer und Berechtigungen. Sie können eine der einfachen Rollen (Inhaber, Bearbeiter, Betrachter), die Firebase-Administrator-/Betrachterrollen oder eine der vordefinierten Firebase-Produktkategorierollen zuweisen. -
Die Google Cloud Console bietet eine umfangreiche Auswahl an Tools, mit denen Sie Projektmitgliedern auf der Seite IAM & Verwaltung
IAM Rollen zuweisen können.
Sie können auch benutzerdefinierte Rollen erstellen und verwalten sowie Dienstkonten Zugriff auf Ihr Projekt gewähren.
In der Google Cloud-Konsole werden Projektmitglieder als Hauptkonten bezeichnet.
Wenn der Inhaber Ihres Projekts die Aufgaben eines Inhabers nicht mehr ausführen kann (z. B. weil die Person Ihr Unternehmen verlassen hat) und Ihr Projekt nicht über eine Google Cloud-Organisation verwaltet wird (siehe nächster Absatz), können Sie sich an den Firebase-Support wenden und sich erkundigen, wie Sie Zugriff auf das Firebase-Projekt beantragen können.
Wenn ein Firebase-Projekt Teil einer Google Cloud-Organisation ist, hat es möglicherweise keinen Inhaber. Wenn Sie keinen Inhaber für Ihr Firebase-Projekt finden, wenden Sie sich an die Person, die Ihre Google Cloud-Organisation verwaltet, um einen Inhaber für das Projekt zuzuweisen.