إعداد الوصول المناسب لإحدى الإضافات

لكي تنفّذ الإضافة إجراءاتها المحدّدة، يمنح Firebase كل مثيل الإضافة المثبّتة إمكانية الوصول المحدود إلى المشروع وبياناته من خلال حساب الخدمة:

ما هو حساب الخدمة؟

حساب الخدمة هو نوع خاص من حسابات مستخدمي Google. إنها تمثل مستخدمًا غير بشري إجراء طلبات بيانات معتمَدة من واجهة برمجة التطبيقات لخدمات Google.

أثناء تثبيت إحدى الإضافات، تنشئ Firebase حساب خدمة للإضافه في المشروع. لكلّ نسخة مثبّتة من إحدى الإضافات حساب خدمة خاص بها. في حال إلغاء تثبيت مثيل إضافة، تحذف Firebase حساب الخدمة للإضافة.

تكون حسابات الخدمة التي تم إنشاؤها للإضافات بالتنسيق التالي:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

تحدّ Firebase من إمكانية وصول إحدى الإضافات إلى مشروع وبياناته من خلال منح أدوار (حِزم من الأذونات) محدّدة لحساب الخدمة الخاص بالإضافة. عند إنشاء إضافة، عليك تحديد الأدوار التي تتطلّب تشغيلها، ثم إدراج هذه الأدوار وسبب احتياج الإضافة إليها في ملف extension.yaml (راجِع المثال في أسفل هذه الصفحة).

تحديد الأدوار التي تتطلّبها الإضافة

عند إنشاء الإضافة، يمكنك تحديد مستوى الوصول الذي تتطلّبه الإضافة لكي تعمل.

أثناء التثبيت، تطلب واجهة Firebase CLI من المستخدم قبول مستوى الوصول الذي يمنحه كل دور. إذا كانت الإضافة تطلب أدوارًا أكثر مما تحتاجه، قد يقل احتمال تثبيتها من قِبل المستخدمين.

1. حدِّد ما إذا كانت إضافتك تتفاعل مع منتج:

   • إذا كانت الإضافة تتفاعل مع أحد المنتجات، عليك تقديم إمكانية وصول الإضافة إلى هذا المنتج.

     على سبيل المثال، إذا كانت الإضافة تكتب البيانات على مثيل Realtime Database، حينئذٍ يجب أن يكون لإضافتك الدور "Realtime Database" (على وجه التحديد، firebasedatabase.admin).

   • إذا كانت إضافتك تستمع فقط إلى حدث تشغيل من المنتج، فإنه لا تحتاج إضافتك إلى دور مرتبط باستخدام هذا المنتج.

     على سبيل المثال، إذا كانت الإضافة تُشغَّل عند الكتابة في مثيل Realtime Database (ولكنّها لا تكتب أي شيء في قاعدة البيانات)، فإنّ الإضافة لا تحتاج إلى دور Realtime Database.

2. بعد تحديد المنتجات التي تتفاعل معها الإضافة، عليك تحديد الدور المطلوب لهذا التفاعل المحدّد. بعض الإشعارات تقدم المنتجات أدوارًا مختلفة اعتمادًا على الإجراء أو مجموعة الإجراءات تنفيذها.

   على سبيل المثال، لنفترض أنّ إضافتك تتفاعل مع Cloud Storage مجموعة. سيسمح دور storage.objectCreator للإضافات بإنشاء عنصر في حزمة Cloud Storage، ولكن لن يسمح هذا الدور للإضافات بعرض العناصر أو حذفها أو استبدالها. لتفعيل الإضافة إلى لتنفيذ تلك الإجراءات الإضافية، فستحتاج إلى تعيين دور واحد (storage.objectAdmin) بدلاً من ذلك.

راجِع القسم في أسفل هذه الصفحة للاطّلاع على كل الأدوار المتوافقة التي يمكنك منحها لحساب الخدمة في الإضافة. لمزيد من المعلومات عن وصف كل دور والأذونات الممنوحة له، انتقِل إلى مستندات Firebase أو مستندات Google Cloud: يمكنك أيضًا البحث عن الأدوار في لوحة "إدارة الهوية وإمكانية الوصول" في "وحدة تحكّم Google Cloud".

كيفية تعيين الأدوار لإحدى الإضافات

أدرِج أدوار "إدارة الهوية وإمكانية الوصول" المطلوبة لكي تعمل الإضافة في القسم "roles". من ملف extension.yaml.

في ما يلي مثال على إضافة تستمع إلى محتوى معيّن مسار Firebase Realtime Database. عند بدء الإجراء، تعدّل الإضافة بريدًا إلكترونيًا لحساب مستخدم (تفاعل مع Firebase Authentication) وتُرسِل إشعارًا (تفاعل مع Firebase Cloud Messaging). يُرجى ملاحظة ما يلي:

• على الرغم من تشغيل الإضافة من حدث Realtime Database، فإن دور firebasedatabase.admin غير مدرَج (لا يُعدّ الاستماع التفاعل).
• وبما أن الإضافة تتفاعل مع Authentication وCloud Messaging، سيتم أدوارًا للوصول إلى هذه المنتجات (firebaseauth.admin firebasenotifications.admin، على التوالي).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

في ملف extension.yaml، استخدِم الحقول التالية لمنح دور إلى حساب خدمة الإضافة:

تقليل نطاق الأدوار

يجب أن تتبع الإضافات مبدأ الامتياز الأقل وأن تطلب فقط الوصول إلى الموارد التي يحتاج إليها. يمكنك تقييد نطاق وصول إحدى الإضافات باستخدام الحقل role.resource. على سبيل المثال، إذا كانت الإضافة تحتاج إلى كتابة عناصر في حزمة Cloud Storage، يمكنك استخدام الدور التالي:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

يتيح ذلك للإضافة الوصول إلى الحزمة التي تحتاج إليها فقط، وليس الآخرين في نفس المشروع.

يتوافق هذا الحقل مع المشاريع (projects/{project_id}). حِزم التخزين (projects/{project_id}/buckets/{bucket_id}).

الأدوار المتوافقة للإضافات

يسرد الجدول التالي أدوار إدارة الهوية وإمكانية الوصول المتوافقة للتفاعل مع منتجات Firebase . معظم الأدوار في هذا الجدول الأدوار على مستوى منتج Firebase ولكن تتم إدارة بعضها مباشرةً بواسطة Google Cloud (وخصوصًا، Cloud Firestore و Cloud Storage).

منتجات Firebase

منتجات Google Cloud

تعرف على هذه الأدوار في مستندات Google Cloud