Konfigurowanie odpowiedniego dostępu do rozszerzenia

Aby rozszerzenie wykonało określone działania, Firebase przyznaje uprawnienia każdej instancji zainstalowanego rozszerzenia ma ograniczony dostęp do projektu i jego danych za pomocą konto usługi.

Co to jest konto usługi?

konta usługi, to specjalny typ konta użytkownika Google. Przedstawia on użytkownika, który nie jest człowiekiem, może wykorzystywać autoryzowane wywołania interfejsu API do usług Google.

Podczas instalacji rozszerzenia Firebase tworzy konto usługi dla tego rozszerzenia w projekcie. Każda zainstalowana instancja rozszerzenia ma własne konto usługi. Jeśli instancja rozszerzenia zostanie odinstalowana, Firebase usunie konta usługi rozszerzenia.

Konta usługi utworzone na potrzeby rozszerzeń mają format:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase ogranicza dostęp rozszerzenia do projektu i jego danych, przypisując do konta usługi rozszerzenia określone role (pakiety uprawnień). Tworząc rozszerzenie, określonych ról wymaganych do działania rozszerzenia, należy role i powód, dla którego rozszerzenie wymaga tych ról w extension.yaml. (zobacz przykład u dołu tej strony).

Określ, jakich ról wymaga Twoje rozszerzenie

Podczas tworzenia rozszerzenia określasz poziom dostępu, którego potrzebuje ono do działania.

Podczas instalacji narzędzie wiersza poleceń Firebase wyświetla użytkownikowi monit o zaakceptowanie poziomu dostępu przyznanego przez każdą rolę. Jeśli rozszerzenie wymaga większej liczby ról będzie mniej skłonny do zainstalowania Twojej aplikacji.

1. Sprawdź, czy Twoje rozszerzenie wchodzi w interakcję z usługą:

   • Jeśli rozszerzenie wchodzi w interakcję z produktem, musisz określić dostęp rozszerzenia do danej usługi.

     Jeśli na przykład rozszerzenie zapisuje dane w instancji Realtime Database, to rozszerzenie wymaga roli Realtime Database (w szczególności firebasedatabase.admin).

   • Jeśli rozszerzenie tylko nasłuchuje na potrzeby wywołania zdarzenia z produktu, nie musi mieć roli powiązanej z tym produktem.

     Jeśli na przykład rozszerzenie uruchamia się przy zapisie w elemencie Realtime Database (ale nie zapisuje niczego w bazie danych), rozszerzenie nie wymaga roli Realtime Database.

2. Po ustaleniu, z którymi produktami wchodzi w interakcje z rozszerzeniem, określić, jaka rola jest wymagana w przypadku danej interakcji. Niektóre produkty oferują różne role w zależności od wykonanego działania lub zestawu działań.

   Załóżmy np., że Twoje rozszerzenie wchodzi w interakcję z grupą Cloud Storage. Rola storage.objectCreator pozwalałaby rozszerzeniu tworzyć obiekty w zasośniku Cloud Storage, ale nie zezwalałaby mu na wyświetlanie, usuwanie ani zastępowanie obiektów. Aby włączyć rozszerzenie tych dodatkowych działań, musisz przypisać Zamiast tego rolę: storage.objectAdmin.

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}