איך להגדיר גישה מתאימה לתוסף

כדי שהתוסף יבצע את הפעולות שצוינו, Firebase מעניק לכל מופע של תוסף מותקן גישה מוגבלת לפרויקט ולנתונים שלו באמצעות חשבון שירות.

מה זה חשבון שירות?

חשבון שירות הוא סוג מיוחד של חשבון משתמש ב-Google. הוא מייצג משתמש לא אנושי שיכול לבצע קריאות מורשות ל-API לשירותי Google.

במהלך ההתקנה של תוסף, מערכת Firebase יוצרת חשבון שירות לתוסף בפרויקט. לכל מופע מותקן של תוסף יש חשבון שירות משלו. אם מסירים התקנה של מופע של תוסף, Firebase מוחק את חשבון השירות של התוסף.

חשבונות שירות שנוצרו לתוספים הם בפורמט:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

מערכת Firebase מגבילה את הגישה של תוסף לפרויקט ולנתונים שלו על ידי הקצאת תפקידים ספציפיים (חבילות של הרשאות) לחשבון השירות של התוסף. כשמפתחים תוסף, צריך לקבוע אילו תפקידים נדרשים כדי שהתוסף יפעל, ואז לפרט את התפקידים האלה ואת הסיבה לכך שהתוסף זקוק להם בקובץ extension.yaml (ראו דוגמה בחלק התחתון של הדף הזה).

קובעים אילו תפקידים נדרשים לתוסף

כשמפתחים תוסף, קובעים את רמת הגישה שנדרשת לתוסף כדי לפעול.

במהלך ההתקנה, ממשק Firebase CLI מבקש מהמשתמש לאשר את רמת הגישה שניתנת לכל תפקיד. אם התוסף שלכם מבקש יותר תפקידים ממה שהוא צריך בפועל, יכול להיות שהמשתמשים לא ירצו להתקין אותו.

1. קובעים אם התוסף שלכם יוצר אינטראקציה עם מוצר:

   • אם התוסף יוצר אינטראקציה עם מוצר, צריך לתת לתוסף גישה למוצר הזה.

     לדוגמה, אם התוסף כותב נתונים למופע Realtime Database, התוסף צריך הרשאת Realtime Database (בספציפיות, firebasedatabase.admin).

   • אם התוסף שלכם רק מאזין לאירוע הפעלה ממוצר, אז לא צריך לשייך לתוסף תפקיד שקשור למוצר הזה.

     לדוגמה, אם התוסף שלכם מופעל כשמתבצעת כתיבה למופע Realtime Database (אבל לא כותב שום דבר למסד הנתונים), אז התוסף לא צריך הרשאת Realtime Database.

2. אחרי שתקבעו עם אילו מוצרים התוסף מקיים אינטראקציה, תצטרכו להחליט איזו הרשאה נדרשת לאינטראקציה הספציפית הזו. בחלק מהמוצרים יש תפקידים שונים בהתאם לפעולה או לסדרת הפעולות שמבצעים.

   לדוגמה, נניח שהתוסף שלכם יוצר אינטראקציה עם Cloud Storagebucket. התפקיד storage.objectCreator יאפשר לתוסף ליצור אובייקט בקטגוריה Cloud Storage, אבל התפקיד הזה לא יאפשר לתוסף לצפות באובייקטים, למחוק אותם או להחליף אותם. כדי שהתוסף יוכל לבצע את הפעולות הנוספות האלה, צריך להקצות לו את התפקיד storage.objectAdmin.

בקטע שבתחתית הדף מפורטים כל התפקידים הנתמכים שאפשר להקצות לחשבון השירות של התוסף. כדי לקרוא על תיאור התפקיד וההרשאות שניתנות לכל תפקיד, אפשר לעיין במסמכי התיעוד של Firebase או במסמכי התיעוד של Google Cloud. אפשר גם לחפש תפקידים בחלונית IAM & Admin במסוף Google Cloud.

איך מקצים תפקידים לתוסף

מפרטים את תפקידי ה-IAM שנדרשים כדי שהתוסף יפעל בקטע roles בקובץ extension.yaml.

דוגמה לתוסף שמקשיב לנתיב Firebase Realtime Database שצוין. כשהאירוע מופעל, התוסף מעדכן את כתובת האימייל של חשבון המשתמש (אינטראקציה עם Firebase Authentication) ושולח התראה (אינטראקציה עם Firebase Cloud Messaging). חשוב לשים לב לנקודות הבאות:

• למרות שהתוסף מופעל מאירוע Realtime Database, התפקיד firebasedatabase.admin לא מופיע (האזנה לא נחשבת לאינטראקציה).
• התוסף מקיים אינטראקציה עם Authentication ועם Cloud Messaging, ולכן הוא זקוק להרשאות גישה למוצרים האלה (firebaseauth.admin ו-firebasenotifications.admin, בהתאמה).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

בקובץ extension.yaml, משתמשים בשדות הבאים כדי להקצות תפקיד לחשבון השירות של התוסף:

צמצום היקף התפקידים

תוספים צריכים לפעול בהתאם לעיקרון של הרשאות מינימליות ולבקש גישה רק למשאבים שהם צריכים. אפשר להגביל את היקף הגישה של תוסף באמצעות השדה role.resource. לדוגמה, אם התוסף צריך לכתוב אובייקטים לקטגוריה של Cloud Storage, אפשר להשתמש בתפקיד הבא:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

כך התוסף יכול לגשת רק לקטגוריה שהוא צריך, ולא לקטגוריות אחרות באותו פרויקט.

השדה הזה תומך בפרויקטים (projects/{project_id}) ובקטגוריות של Cloud Storage ‏ (projects/{project_id}/buckets/{bucket_id}).

תפקידים נתמכים לתוספים

בטבלה הבאה מפורטים תפקידי ה-IAM הנתמכים לצורך אינטראקציה עם מוצרי Firebase. רוב התפקידים בטבלה הזו הם תפקידים ברמת המוצר ב-Firebase, אבל חלקם מנוהלים ישירות על ידי Google Cloud (במיוחד Cloud Firestore ו-Cloud Storage).

מוצרי Firebase

מוצרי Google Cloud

מידע נוסף על התפקידים האלה זמין במסמכי התיעוד של Google Cloud.