需为Google Cloud Run服务分配哪些预定义角色以读写Firestore DB？

Firestore原生模式下，Google Cloud提供的预定义权限角色确实以Datastore命名——因为Firestore与Datastore共享底层权限体系，这些角色完全适用于Firestore操作。以下是满足读写需求的核心角色：

完整读写权限 #

• roles/datastore.user：允许对Firestore数据执行创建、读取、更新、删除全量操作，是Cloud Run服务读写Firestore最常用的预定义角色。

细分权限（按需选择） #

• roles/datastore.viewer：仅授予数据读取权限，适合只需查询Firestore的场景。
• roles/datastore.editor：包含完整的读写权限，权限范围与datastore.user一致，可作为替代选择。

注：如果需要更精细的权限控制（比如仅写入不读取），预定义角色无法满足，需创建自定义IAM角色来配置具体权限。

内容的提问来源于stack exchange，提问作者Atharva