コンソールへ移動

送信リクエストを承認する

アプリサーバーや信頼できる環境から FCM に送信されるリクエストには、承認が必要です。以前の HTTP API と HTTP v1 API の承認には、次のような重要な違いがあります。

  • FCM HTTP v1 API では、有効期間が短い OAuth 2.0 アクセス トークンを使用してリクエストを承認します。このトークンを作成するには、Google アプリケーションのデフォルト認証情報(Google サーバー環境内)を使用するか、サービス アカウント用に生成された JSON 秘密鍵ファイルから必要な認証情報を手動で取得します。Firebase Admin SDK を使用してメッセージを送信している場合は、ライブラリでトークンが処理されます。
  • レガシー プロトコルでは、Firebase コンソールから取得される有効期間が長い API キーが使用されます。

HTTP v1 の送信リクエストを承認する

サーバー環境の詳細に応じて、Firebase サービスへのサーバー リクエストを承認するために、これらの戦略の組み合わせを使用します。

  • Google アプリケーションのデフォルト認証情報(ADC)
  • サービス アカウントの JSON ファイル
  • サービス アカウントから派生した有効期間が短い OAuth 2.0 アクセス トークン

アプリケーションが Compute Engine や Kubernetes Engine、App Engine、Cloud Functions(Cloud Functions for Firebase を含む)で実行されている場合は、アプリケーションのデフォルト認証情報(ADC)を使用してください。ADC では既存のデフォルト サービス アカウントを使用してリクエストを承認するための認証情報を取得します。また、環境変数 GOOGLE_APPLICATION_CREDENTIALS を使用して、柔軟なローカルテストも実現します。認証フローを最大限に自動化するには、ADC を Admin SDK サーバー ライブラリと一緒に使用してください。

アプリケーションが Google 以外のサーバー環境で実行されている場合、Firebase プロジェクトからサービス アカウントの JSON ファイルをダウンロードする必要があります。秘密鍵ファイルが含まれているファイル システムにアクセスできる場合は、環境変数 GOOGLE_APPLICATION_CREDENTIALS を使用して、手動で取得した認証情報でリクエストを承認できます。こうしたファイル アクセス権がない場合は、コード内でサービス アカウント ファイルを参照する必要があります。この操作は、認証情報が公開される危険性があるため、細心の注意を払って行ってください。

ADC を使用して認証情報を提供する

Google アプリケーションのデフォルト認証情報(ADC)では、以下の順番で認証情報が確認されます。

  1. ADC では、環境変数 GOOGLE_APPLICATION_CREDENTIALS が設定されているか確認します。変数が設定されている場合、ADC はその変数が指しているサービス アカウント ファイルを使用します。

  2. 環境変数が設定されていない場合、ADC では、サービスで実行されているアプリケーションに応じて、Compute Engine、Kubernetes Engine、App Engine、または Cloud Functions によって提供されているデフォルトのサービス アカウントを使用します。

  3. ADC が上記のどの認証情報も使用できない場合、エラーが発生します。

以下の Admin SDK サンプルコードは、この方式を表しています。このサンプルでは、アプリケーション認証情報は明示的には指定されていません。しかし、環境変数が設定されているか、アプリケーションが Compute Engine、Kubernetes Engine、App Engine、または Cloud Functions で実行されている限り、ADC では認証情報を暗黙的に検出できます。

Node.js

admin.initializeApp({
  credential: admin.credential.applicationDefault(),
});

Java

FirebaseOptions options = new FirebaseOptions.Builder()
    .setCredentials(GoogleCredentials.getApplicationDefault())
    .setDatabaseUrl("https://<DATABASE_NAME>.firebaseio.com/")
    .build();

FirebaseApp.initializeApp(options);

Python

default_app = firebase_admin.initialize_app()

Go

app, err := firebase.NewApp(context.Background(), nil)
if err != nil {
	log.Fatalf("error initializing app: %v\n", err)
}

C#

FirebaseApp.Create(new AppOptions()
{
    Credential = GoogleCredential.GetApplicationDefault(),
});

認証情報を手動で提供する

Firebase プロジェクトでは Google サービス アカウントがサポートされています。これを使用して、アプリサーバーまたは信頼できる環境から Firebase サーバー API を呼び出せます。コードをローカルで開発しているか、またはアプリケーションをオンプレミスでデプロイしている場合、このサービス アカウントで取得した認証情報を使用してサーバー リクエストを承認できます。

サービス アカウントを認証して Firebase サービスへのアクセスを承認するには、秘密鍵ファイルを JSON 形式で生成する必要があります。

サービス アカウント用の秘密鍵ファイルを生成するには:

  1. Firebase コンソールで、[設定] > [サービス アカウント] を開きます。

  2. [新しい秘密鍵の生成] をクリックし、[キーを生成] をクリックして確定します。

  3. キーを含む JSON ファイルを安全に保管します。

サービス アカウントを介して承認する場合、アプリケーションの認証情報を指定するには 2 つの選択肢があります。GOOGLE_APPLICATION_CREDENTIALS 環境変数を設定することも、サービス アカウント キーへのパスをコードで明示的に渡すこともできます。1 つ目の選択肢のほうが安全であるため、強くおすすめします。

環境変数を設定するには:

環境変数 GOOGLE_APPLICATION_CREDENTIALS をサービス アカウント キーが格納された JSON ファイルのファイルパスに設定します。この変数は現在のシェル セッションにのみ適用されるので、新しいセッションを開く場合は、変数を再度設定してください。

Linux または macOS

export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

Windows

PowerShell を使用する場合:

$env:GOOGLE_APPLICATION_CREDENTIALS="C:\Users\username\Downloads\service-account-file.json"

上記の手順を完了すると、アプリケーションのデフォルト認証情報(ADC)は認証情報を暗黙的に判別できるようになり、Google 以外の環境でテストするか実行するときに、サービス アカウントの認証情報を使用できます。

認証情報を使用してアクセス トークンを作成する

自動的に認証を処理する Admin SDK を使用していない場合、アクセス トークンを作成して送信リクエストに追加する必要があります。

次に示すように、有効期間の短い OAuth 2.0 アクセス トークンを取得するために、適切な言語の Google API クライアント ライブラリと一緒に Firebase 認証情報を使用します。

node.js

 function getAccessToken() {
  return new Promise(function(resolve, reject) {
    var key = require('./service-account.json');
    var jwtClient = new google.auth.JWT(
      key.client_email,
      null,
      key.private_key,
      SCOPES,
      null
    );
    jwtClient.authorize(function(err, tokens) {
      if (err) {
        reject(err);
        return;
      }
      resolve(tokens.access_token);
    });
  });
}

Python

def _get_access_token():
  """Retrieve a valid access token that can be used to authorize requests.

  :return: Access token.
  """
  credentials = ServiceAccountCredentials.from_json_keyfile_name(
      'service-account.json', SCOPES)
  access_token_info = credentials.get_access_token()
  return access_token_info.access_token

Java

private static String getAccessToken() throws IOException {
  GoogleCredential googleCredential = GoogleCredential
      .fromStream(new FileInputStream("service-account.json"))
      .createScoped(Arrays.asList(SCOPES));
  googleCredential.refreshToken();
  return googleCredential.getAccessToken();
}

アクセス トークンが期限切れになると、更新されたアクセス トークンを取得するために、トークンの更新メソッドが自動的に呼び出されます。

FCM へのアクセスを承認するには、スコープ https://www.googleapis.com/auth/firebase.messaging をリクエストします。

アクセス トークンを HTTP リクエスト ヘッダーに追加するには:

トークンを Authorization ヘッダーの値として Authorization: Bearer <access_token> という形式で追加します。

node.js

headers: {
  'Authorization': 'Bearer ' + accessToken
}

Python

headers = {
  'Authorization': 'Bearer ' + _get_access_token(),
  'Content-Type': 'application/json; UTF-8',
}

Java

URL url = new URL(BASE_URL + FCM_SEND_ENDPOINT);
HttpURLConnection httpURLConnection = (HttpURLConnection) url.openConnection();
httpURLConnection.setRequestProperty("Authorization", "Bearer " + getAccessToken());
httpURLConnection.setRequestProperty("Content-Type", "application/json; UTF-8");
return httpURLConnection;

レガシー プロトコルの送信リクエストを承認する

HTTP レガシー プロトコルでは、各リクエストに、Firebase コンソールの [設定] ペインの [クラウド メッセージング] タブにあるサーバーキーが含まれている必要があります。XMPP の場合は、同じサーバーキーを使用して接続を確立する必要があります。

HTTP リクエストを承認する

メッセージ リクエストは、HTTP ヘッダーと HTTP 本文の 2 つの部分で構成されます。HTTP ヘッダーには次のヘッダーが含まれている必要があります。

  • Authorization: key=YOUR_SERVER_KEY
    このキーは必ず、実際のサーバーキーにする必要があります。キーの値は、Firebase コンソールの [設定] ペインにある [クラウド メッセージング] タブで確認できます。Android、iOS、ブラウザのキーは、FCM で拒否されます。
  • Content-Type: application/json(JSON の場合)、application/x-www-form-urlencoded;charset=UTF-8(書式なしテキストの場合)。
    Content-Type が省略された場合、形式は書式なしテキストとみなされます。

例:

Content-Type:application/json
Authorization:key=AIzaSyZ-1u...0GBYzPu7Udno5aA

{
  "to" : "bk3RNwTe3H0:CI2k_HHwgIpoDKCIZvvDMExUdFQ3P1...",
  "data" : {
    ...
  },
}

送信リクエストの作成の詳細については、送信リクエストの作成をご覧ください。レガシー HTTP プロトコル リファレンスには、メッセージに含めることができるすべてのパラメータのリストがあります。

サーバーキーの有効性の確認

メッセージを送信するときに、認証エラーが起こった場合は、サーバーキーの有効性を確認してください。たとえば Linux では次のコマンドを実行します。

api_key=YOUR_SERVER_KEY

curl --header "Authorization: key=$api_key" \
     --header Content-Type:"application/json" \
     https://fcm.googleapis.com/fcm/send \
     -d "{\"registration_ids\":[\"ABC\"]}"

401 HTTP ステータス コードが返された場合、そのサーバーキーは有効ではありません。

XMPP 接続を承認する

XMPP では、FCM サーバーへの永続的で非同期的な双方向接続を維持できます。この接続を使用すると、FCM 接続されたユーザー デバイスとアプリサーバーとの間でメッセージを送受信できます。

長時間継続する FCM 接続を管理するには、ほとんどの XMPP ライブラリを使用できます。XMPP エンドポイントは fcm-xmpp.googleapis.com:5235 で実行されます。本番環境以外のユーザーを対象に機能をテストするときは、本番前サーバーである fcm-xmpp.googleapis.com:5236 に接続する必要があります。使用するポートの違いにご注意ください。

本番前環境(最新の FCM ビルドが動作している小規模な環境)で定期的にテストを行うことは、テストコードから実際のユーザーを切り離すうえで役立ちます。テスト メッセージを本番環境ユーザーに送信したり、テスト接続経由で本番環境トラフィックからアップストリーム メッセージを送信したりしてしまうリスクを回避するため、fcm-xmpp.googleapis.com:5236 に接続するテストデバイスとテストコードでは、本番環境とは別の FCM 送信者 ID を使用してください。

接続には、次の 2 つの重要な要件があります。

  • Transport Layer Security(TLS)接続を開始する必要があります。現在 FCM では、STARTTLS 拡張機能はサポートされていません。
  • FCM では、<your_FCM_Sender_Id>@fcm.googleapis.com(FCM 送信者 ID)と、パスワードとしてサーバーキーを使用する、SASL PLAIN 認証メカニズムが必要です。これらの値は、Firebase コンソールの [設定] ペインの [クラウド メッセージング] タブで確認できます。

いずれかの時点で接続が失敗した場合は、すぐに再接続してください。認証後に切断された場合は、バックオフする必要はありません。FCM は送信者 ID 1 つあたり 1,000 件の同時接続を許可します。

次のスニペットは、FCM への XMPP 接続の認証と承認を行う方法を示しています。

XMPP サーバー

XMPP サーバーは FCM への接続をリクエストします

<stream:stream to="fcm.googleapis.com"
        version="1.0" xmlns="jabber:client"
        xmlns:stream="http://etherx.jabber.org/streams">

FCM

FCM は接続を開き、PLAIN メソッドを含む認証メカニズムをリクエストします。

<stream:features>
  <mechanisms xmlns="urn:ietf:params:xml:ns:xmpp-sasl">
    <mechanism>X-OAUTH2</mechanism>
    <mechanism>X-GOOGLE-TOKEN</mechanism>
    <mechanism>PLAIN</mechanism>
  </mechanisms>
</stream:features>

XMPP サーバー

XMPP サーバーは PLAIN 認証メソッドを使用して応答する必要があります。その際、Firebase コンソールの [設定] ペインの [クラウド メッセージング] タブにあるサーバーキーを指定します。

<auth mechanism="PLAIN"
xmlns="urn:ietf:params:xml:ns:xmpp-sasl">MTI2MjAwMzQ3OTMzQHByb2plY3RzLmdjbS5hb
mFTeUIzcmNaTmtmbnFLZEZiOW1oekNCaVlwT1JEQTJKV1d0dw==</auth>

FCM

<success xmlns="urn:ietf:params:xml:ns:xmpp-sasl"/>

XMPP サーバー

<stream:stream to="fcm.googleapis.com"
        version="1.0" xmlns="jabber:client"
        xmlns:stream="http://etherx.jabber.org/streams">

FCM

<stream:features>
  <bind xmlns="urn:ietf:params:xml:ns:xmpp-bind"/>
  <session xmlns="urn:ietf:params:xml:ns:xmpp-session"/>
</stream:features>

XMPP サーバー

<iq type="set">
  <bind xmlns="urn:ietf:params:xml:ns:xmpp-bind"></bind>
</iq>

FCM

<iq type="result">
  <bind xmlns="urn:ietf:params:xml:ns:xmpp-bind">
    <jid>SENDER_ID@fcm.googleapis.com/RESOURCE</jid>
  </bind>
</iq>

注: FCM はメッセージのルーティング中に、バインドされたリソースを使用しません。

送信リクエストの作成の詳細については、送信リクエストの作成をご覧ください。レガシー XMPP プロトコル リファレンスには、メッセージに含めることができるすべてのパラメータのリストがあります。