Role-Based Authorization Pattern (RBAC)は､サービス内のコンテンツにグローバルにアクセス制御を行う際に用いられる(ex. NetflixのSubscription) データモデルのパターンです｡

本記事では､FirestoreでRBACを実装する際に､基本となるデータモデルについて解説していきます｡

ℹ️

INFO

RBACと対比的に語られるデータモデルのパターンとしてABACが存在します｡ グローバルにアクセス制御を行うRBACに対して､ABACは､ 個別コンテンツへのアクセス制御 (ex. NetfrixのSubscription)に用いられます｡ 詳しくは､以下､ABACの解説記事もご参照ください

Data Model Patterns: Attribute-Based Access Control (ABAC)

目次

about.logs.world

RBACとは?

Data Model

1. roles Collectionを作成し､roleの名称をdocumentIdとしたroleを作成
2. users Collectionを作成し､にroleのDocumentIdをString型のArrayで格納

# roles
- documentId: 'admin'
- documentId: 'editor'
- …

# users
- documentId: 'ヒソカ=モロウ'
	- roles :Array
	    - String: 'admin' ※
	    - String: 'editor'
	    - …
- …

※Document Reference型としてもよいがIndexが効かなくなるため､String型としています

Security Rule

1. request.auth.uid (ログイン中のuser)と一致するusersのrolesの有無を参照して､アクセス制御を行う

// rules.json

match /posts/{id} {
	
	function getRoles() {
		return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles;
	}

  allow create: if getRoles().hasAny(['admin']) == true;
  allow read: if request.auth != null;
  allow update: if getRoles().hasAny(['admin', 'editor']) == true;
  allow delete: if getRoles().hasAny(['admin']) == true;
  
}

Triggers of Update Duplicated Data

1. 以下､Triggerとなる事象の発生に基づきCloud Functionを起動､冗長化されたデータのUpdateの処理を行う

Reference

Fireship

Role-Based Authorization

Role-based access control and security rules

fireship.io

Role-based Auth Example

Role-based access control example

fireship.io

Duplication

How to eliminate reads with data duplication

fireship.io