拡張機能に適切なアクセス権を設定する

拡張機能が指定されたアクションを実行するため、Firebase はサービス アカウントを介して、インストールされた拡張機能のインスタンスごとにプロジェクトとそのデータへの制限付きアクセス権を付与します。

サービス アカウントとは

サービス アカウントは、特殊なタイプの Google ユーザー アカウントです。Google サービスに対して承認済みの API 呼び出しを行うことができる、人間以外のユーザーを表します。

拡張機能のインストール中に、Firebase によってプロジェクト内に拡張機能のサービス アカウントが作成されます。インストールされた拡張機能のインスタンスごとに、固有のサービス アカウントがあります。拡張機能のインスタンスがアンインストールされると、Firebase は拡張機能のサービス アカウントを削除します。

拡張機能用に作成されるサービス アカウントは次の形式になります。

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase は、拡張機能のサービス アカウントに特定のロール（一連の権限）を割り当てることで、プロジェクトとそのデータへの拡張機能のアクセスを制限します。拡張機能を作成する際は、拡張機能が動作するために必要なロールを決定してから、そのロールと拡張機能がそれを必要とする理由を extension.yaml ファイルにリストします（このページの下部にある例をご覧ください）。

拡張機能に必要なロールを決定する

拡張機能を作成する際は、拡張機能が動作するために必要なアクセスレベルを決定します。

拡張機能のインストールで、Firebase CLI からユーザー対して、各ロールで付与されるアクセスレベルの承認を求めるプロンプトが表示されます。拡張機能が実際に必要とする以上のロールをリクエストすると、ユーザーが拡張機能をインストールできる可能性が低くなります。

1. 拡張機能がプロダクトとやり取りしているかどうかを確認します。

   • 拡張機能がプロダクトとやり取りしている場合、拡張機能にそのプロダクトへのアクセス権を付与する必要があります。

     たとえば、拡張機能が Realtime Database インスタンスにデータを書き込む場合、拡張機能には Realtime Database のロール（特に firebasedatabase.admin）が必要です。

   • 拡張機能がプロダクトからトリガーとなるイベントをリッスンするだけであれば、拡張機能はそのプロダクトに関連付けられているロールを必要としません。

     たとえば、拡張機能が Realtime Database インスタンスへの書き込みによってトリガーされる（ただしデータベースには何も書きこまない）場合、拡張機能には Realtime Database ロールは必要ありません。

2. 拡張機能がやり取りするプロダクトが確認されると、その特定のインタラクションに必要なロールを決定する必要があります。一部のプロダクトでは、実行するアクションまたは一連のアクションに応じて別々のロールが提供されます。

   たとえば、拡張機能が Cloud Storage バケットとやり取りしているとします。storage.objectCreator のロールでは、拡張機能が Cloud Storage バケットにオブジェクトを作成することはできますが、オブジェクトの表示、削除、上書きはできません。拡張機能がこの追加アクションを実行できるようにするには、storage.objectAdmin ロールを割り当てる必要があります。

このページの下部のセクションで、拡張機能のサービス アカウントに割り当てることのできるサポートされているロールをすべて紹介しています。各ロールの説明と付与される権限については、Firebase のドキュメントまたはGoogle Cloud のドキュメントをご覧ください。Google Cloud コンソールの [IAM と管理] パネルでもロールの検索が可能です。

拡張機能へのロールの割り当て方

拡張機能が動作するために必要な IAM ロールを extension.yaml ファイルの roles セクションにリストします。

指定された Firebase Realtime Database パスをリッスンする拡張機能の例を次に示します。拡張機能がトリガーされると、ユーザー アカウントのメール（Firebase Authentication とのインタラクション）が更新され、通知（Firebase Cloud Messaging とのインタラクション）が送信されます。次の点に注意してください。

• Realtime Databaseイベントから拡張機能がトリガーされても、firebasedatabase.admin ロールはリストされません（リッスンはインタラクションとはみなされません）。
• この拡張機能は Authentication と Cloud Messaging とやり取りするため、このようなプロダクトにアクセスするためのロール（それぞれ firebaseauth.admin と firebasenotifications.admin）が必要です。

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

extension.yaml ファイルで、次のフィールドを使用して拡張機能のサービス アカウントにロールを割り当てます。

ロールの範囲を縮小する

拡張機能では、最小権限の原則に従い、必要なリソースへのアクセス権のみをリクエストする必要があります。拡張機能のアクセス範囲を制限するには、role.resource フィールドを使用します。たとえば、拡張機能でオブジェクトを Cloud Storage バケットに書き込む必要がある場合は、次のロールを使用できます。

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

これにより、拡張機能は必要なバケットにのみアクセスでき、同じプロジェクトの他のバケットにはアクセスできません。

このフィールドは、プロジェクト（projects/{project_id}）とストレージ バケット（projects/{project_id}/buckets/{bucket_id}）をサポートしています。

拡張機能でサポートされているロール

次の表に、Firebase プロダクトとのやり取りでサポートされている IAM ロールを示します。この表のロールのほとんどは、Firebase プロダクト レベルのロールですが、一部は Google Cloud（具体的には Cloud Firestore と Cloud Storage）によって直接管理されています。

Firebase プロダクト

Google Cloud プロダクト

このようなロールの詳細については、Google Cloud のドキュメントをご覧ください。