Konfigurowanie odpowiedniego dostępu do rozszerzenia

Aby rozszerzenie mogło wykonywać określone działania, Firebase przyznaje każdemu wystąpieniu zainstalowanego rozszerzenia ograniczony dostęp do projektu i jego danych za pomocą konta usługi.

Czym jest konto usługi?

Konto usługi to specjalny rodzaj konta użytkownika Google. Jest to użytkownik, który nie jest człowiekiem i który może wykonywać autoryzowane wywołania interfejsów API do usług Google.

Podczas instalacji rozszerzenia Firebase tworzy konto usługi dla rozszerzenia w projekcie. Każda zainstalowana instancja rozszerzenia ma własne konto usługi. Jeśli instancja rozszerzenia zostanie odinstalowana, Firebase usunie konto usługi tego rozszerzenia.

Konta usługi utworzone dla rozszerzeń mają format:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase ogranicza dostęp rozszerzenia do projektu i jego danych, przypisując do konta usługi rozszerzenia określone role (pakiety uprawnień). Podczas tworzenia rozszerzenia musisz określić, jakie role są wymagane do jego działania, a potem podać te role i uzasadnić, dlaczego rozszerzenie ich potrzebuje w pliku extension.yaml (patrz przykład na dole tej strony).

Określ, jakich ról wymaga Twoje rozszerzenie

Podczas tworzenia rozszerzenia określasz poziom dostępu, którego potrzebuje ono do działania.

Podczas instalacji narzędzie wiersza poleceń Firebase wyświetla użytkownikowi monit o zaakceptowanie poziomu dostępu przyznanego przez każdą rolę. Jeśli rozszerzenie wymaga więcej ról, niż jest to konieczne, użytkownicy mogą być mniej skłonni do jego zainstalowania.

1. Sprawdź, czy Twoje rozszerzenie wchodzi w interakcję z usługą:

   • Jeśli Twoja rozszerzenie współdziała z jakimś produktem, musisz przyznać temu produktowi dostęp do rozszerzenia.

     Jeśli na przykład rozszerzenie zapisuje dane w instansji Realtime Database, potrzebuje roli Realtime Database (dokładnie firebasedatabase.admin).

   • Jeśli rozszerzenie tylko nasłuchuje na wywołanie zdarzenia z produktu, nie musi mieć roli powiązanej z tym produktem.

     Jeśli na przykład rozszerzenie uruchamia się po zapisaniu danych w instancji Realtime Database (ale nie zapisuje niczego w bazie danych), nie potrzebuje roli Realtime Database.

2. Gdy określisz, z jakimi usługami interaguje Twoje rozszerzenie, musisz zdecydować, jaka rola jest wymagana do tej konkretnej interakcji. Niektóre produkty oferują różne role w zależności od wykonanego działania lub zestawu działań.

   Załóżmy np., że Twoje rozszerzenie wchodzi w interakcję z grupą Cloud Storage. Rola storage.objectCreator pozwalałaby rozszerzeniu tworzyć obiekty w zasośniku Cloud Storage, ale nie zezwalałaby mu na wyświetlanie, usuwanie ani zastępowanie obiektów. Aby umożliwić rozszerzeniu wykonywanie tych dodatkowych działań, musisz przypisać mu rolę storage.objectAdmin.

W sekcji na dole tej strony znajdziesz wszystkie obsługiwane role, które możesz przypisać do konta usługi rozszerzenia. Aby dowiedzieć się więcej o każdej roli i przypisanych do niej uprawnieniach, zapoznaj się z dokumentacją Firebase lub dokumentacją Google Cloud. Role możesz też sprawdzić w panelu Administracja konsoli Google Cloud.

Jak przypisywać role do rozszerzenia

W sekcji roles pliku extension.yaml podaj role uprawnień wymagane do działania rozszerzenia.

Oto przykład rozszerzenia, które nasłuchuje określonej ścieżki Firebase Realtime Database. Po wywołaniu rozszerzenie aktualizuje e-maila na koncie użytkownika (interakcja z Firebase Authentication) i wysyła powiadomienie (interakcja z Firebase Cloud Messaging). Zwróć uwagę na te kwestie:

• Chociaż rozszerzenie uruchamia zdarzenie Realtime Database, rola firebasedatabase.admin nie jest wymieniona (nasłuchiwanie nie jest uważane za interakcję).
• Ponieważ rozszerzenie współdziała z usługami Authentication i Cloud Messaging, wymaga ról zapewniających dostęp do tych usług (odpowiednio firebaseauth.admin i firebasenotifications.admin).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

W pliku extension.yaml użyj tych pól, aby przypisać rolę do konta usługi rozszerzenia:

Ograniczanie zakresu ról

Rozszerzenia powinny stosować zasadę minimalnego zakresu uprawnień i prosić tylko o dostęp do zasobów, których potrzebują. Zakres dostępu rozszerzenia możesz ograniczyć, używając pola role.resource. Jeśli na przykład Twoje rozszerzenie musi zapisywać obiekty w zasobniku Cloud Storage, możesz użyć tej roli:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

Dzięki temu rozszerzenie ma dostęp tylko do zasobnika, którego potrzebuje, a nie do innych zasobników w tym samym projekcie.

To pole obsługuje projekty (projects/{project_id}) i zasobniki usługi Storage (projects/{project_id}/buckets/{bucket_id}).

Obsługiwane role rozszerzeń

W tabeli poniżej znajdziesz listę obsługiwanych ról uprawnień do interakcji z usługami Firebase. Większość ról w tej tabeli to role na poziomie usługi Firebase, ale niektórymi zarządza bezpośrednio Google Cloud (dotyczy to ról Cloud Firestore i Cloud Storage).

Usługi Firebase

Usługi Google Cloud

Więcej informacji o tych rolach znajdziesz w dokumentacji Google Cloud.