Konfigurowanie odpowiedniego dostępu do rozszerzenia

Aby rozszerzenie mogło wykonywać określone działania, Firebase przyznaje każdej instancji zainstalowanego rozszerzenia ograniczony dostęp do projektu i jego danych za pomocą konta usługi.

Czym jest konto usługi?

Konto usługi to specjalny rodzaj konta użytkownika Google. Jest to użytkownik, który nie jest człowiekiem i który może wykonywać autoryzowane wywołania interfejsu API do usług Google.

Podczas instalacji rozszerzenia Firebase tworzy w projekcie konto usługi dla rozszerzenia. Każda zainstalowana instancja rozszerzenia ma własne konto usługi. Jeśli instancja rozszerzenia zostanie odinstalowana, Firebase usunie konto usługi rozszerzenia.

Konta usługi utworzone na potrzeby rozszerzeń mają format:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase ogranicza dostęp rozszerzenia do projektu i jego danych, przypisując do konta usługi rozszerzenia określone role (pakiety uprawnień). Podczas tworzenia rozszerzenia określasz, jakich ról potrzebuje ono do działania, a następnie wymieniasz te role i podajesz powód, dla którego rozszerzenie ich potrzebuje, w pliku extension.yaml (przykład znajdziesz u dołu tej strony).

Określ, jakich ról wymaga Twoje rozszerzenie

Podczas tworzenia rozszerzenia określasz poziom dostępu, którego wymaga ono do działania.

Podczas instalacji interfejs Firebase CLI wyświetla prośbę o zaakceptowanie poziomu dostępu przyznanego przez każdą rolę. Jeśli rozszerzenie wymaga więcej ról, niż jest to konieczne, użytkownicy mogą rzadziej je instalować.

1. Sprawdź, czy rozszerzenie wchodzi w interakcję z usługą:

   • Jeśli rozszerzenie wchodzi w interakcję z produktem, musisz przyznać mu dostęp do tego produktu.

     Jeśli na przykład rozszerzenie zapisuje dane w instancji Realtime Database, musi mieć rolę Realtime Database (a konkretnie firebasedatabase.admin).

   • Jeśli rozszerzenie tylko nasłuchuje zdarzenia wywołującego z produktu, to nie musi mieć roli powiązanej z tym produktem.

     Jeśli na przykład rozszerzenie uruchamia się po zapisie w instancji Realtime Database (ale nie zapisuje niczego w bazie danych), nie potrzebuje roli Realtime Database.

2. Gdy ustalisz, z którymi produktami Twoje rozszerzenie wchodzi w interakcję, musisz określić, która rola jest wymagana w przypadku tej konkretnej interakcji. Niektóre usługi oferują różne role w zależności od wykonywanego działania lub zestawu działań.

   Załóżmy na przykład, że rozszerzenie wchodzi w interakcję z Cloud Storage zasobnikiem. Rola storage.objectCreator umożliwi rozszerzeniu tworzenie obiektów w zasobniku Cloud Storage, ale nie pozwoli mu wyświetlać, usuwać ani zastępować obiektów. Aby umożliwić rozszerzeniu wykonywanie tych dodatkowych działań, musisz przypisać rolę storage.objectAdmin.

W sekcji u dołu tej strony znajdziesz wszystkie obsługiwane role, które możesz przypisać do konta usługi rozszerzenia. Opis każdej roli i przyznane uprawnienia znajdziesz w dokumentacji Firebase lub dokumentacji Google Cloud. Role możesz też wyszukiwać w panelu Administracja w konsoli Google Cloud.

Jak przypisywać role do rozszerzenia

Wymień role uprawnień wymagane do działania rozszerzenia w sekcji roles pliku extension.yaml.

Oto przykład rozszerzenia, które nasłuchuje określonej ścieżki Firebase Realtime Database. Po wywołaniu rozszerzenie aktualizuje adres e-mail konta użytkownika (interakcja z Firebase Authentication) i wysyła powiadomienie (interakcja z Firebase Cloud Messaging). Zwróć uwagę na te kwestie:

• Mimo że rozszerzenie wywołuje zdarzenie Realtime Database, rola firebasedatabase.admin nie jest wymieniona (nasłuchiwanie nie jest uważane za interakcję).
• Ponieważ rozszerzenie wchodzi w interakcję z usługami Authentication i Cloud Messaging, wymaga ról umożliwiających dostęp do tych usług (firebaseauth.admin i firebasenotifications.admin).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

W pliku extension.yaml użyj tych pól, aby przypisać rolę do konta usługi rozszerzenia:

Ograniczanie zakresu ról

Rozszerzenia powinny być zgodne z zasadą jak najmniejszych uprawnień i prosić o dostęp tylko do tych zasobów, których potrzebują. Zakres dostępu rozszerzenia możesz ograniczyć za pomocą pola role.resource. Jeśli na przykład rozszerzenie musi zapisywać obiekty w zasobniku Cloud Storage, możesz użyć tej roli:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

Dzięki temu rozszerzenie ma dostęp tylko do potrzebnego zasobnika, a nie do innych zasobników w tym samym projekcie.

To pole obsługuje projekty (projects/{project_id}) i zasobniki pamięci (projects/{project_id}/buckets/{bucket_id}).

Obsługiwane role w przypadku rozszerzeń

W tabeli poniżej znajdziesz listę obsługiwanych ról uprawnień do interakcji z usługami Firebase. Większość ról w tej tabeli to role na poziomie usługi Firebase, ale niektóre są zarządzane bezpośrednio przez Google Cloud (w szczególności Cloud Firestore i Cloud Storage).

Usługi Firebase

Usługi Google Cloud

Więcej informacji o tych rolach znajdziesz w dokumentacji Google Cloud.