ตั้งค่าการเข้าถึงที่เหมาะสมสำหรับส่วนขยาย

Firebase จะมอบสิทธิ์เข้าถึงแบบจํากัดแก่อินสแตนซ์ของส่วนขยายที่ติดตั้งแต่ละรายการสําหรับให้ดําเนินการตามที่ระบุผ่านบัญชีบริการ เพื่อให้ส่วนขยายทําการได้

บัญชีบริการคืออะไร

บัญชีบริการเป็นบัญชีผู้ใช้ Google ประเภทพิเศษ บัญชีดังกล่าวจะเป็นตัวแทนผู้ใช้ที่ไม่ใช่มนุษย์ ซึ่งสามารถเรียก API ที่ได้รับอนุญาตไปยังบริการของ Google

ในระหว่างการติดตั้งส่วนขยาย Firebase จะสร้างบัญชีบริการสำหรับส่วนขยายในโปรเจ็กต์ อินสแตนซ์ที่ติดตั้งไว้แต่ละรายการของส่วนขยายจะมีบัญชีบริการเป็นของตัวเอง หากมีการถอนการติดตั้งอินสแตนซ์ส่วนขยาย Firebase จะลบบัญชีบริการของส่วนขยายนั้น

บัญชีบริการที่สร้างขึ้นสำหรับส่วนขยายจะอยู่ในรูปแบบต่อไปนี้

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase จะจํากัดการเข้าถึงโปรเจ็กต์และข้อมูลของส่วนขยายด้วยการกำหนดบทบาท (กลุ่มสิทธิ์) ที่เฉพาะเจาะจงให้กับบัญชีบริการของส่วนขยาย เมื่อสร้างส่วนขยาย คุณจะต้องกำหนดบทบาทให้ส่วนขยายของคุณทำงาน จากนั้นแสดงรายชื่อบทบาทเหล่านี้และเหตุผลที่ส่วนขยายของคุณจำเป็นต้องใช้บทบาทเหล่านี้ในไฟล์ extension.yaml (ดูตัวอย่างที่ด้านล่างของหน้านี้)

พิจารณาว่าส่วนขยายของคุณต้องใช้บทบาทใด

เมื่อคุณสร้างส่วนขยาย คุณจะกำหนดระดับการเข้าถึงที่ส่วนขยายของคุณต้องใช้ในการดำเนินการ

ในระหว่างการติดตั้ง Firebase CLI จะแจ้งให้ผู้ใช้ยอมรับระดับการเข้าถึงที่ได้รับจากบทบาทแต่ละบทบาท หากส่วนขยายของคุณขอบทบาทมากกว่าที่จำเป็นจริงๆ ผู้ใช้ก็มีแนวโน้มที่จะติดตั้งน้อยกว่า

1. พิจารณาว่าส่วนขยายโต้ตอบกับผลิตภัณฑ์หรือไม่ โดยทำดังนี้

   • หากส่วนขยายโต้ตอบกับผลิตภัณฑ์ คุณจะต้องให้สิทธิ์เข้าถึงผลิตภัณฑ์นั้นแก่ส่วนขยาย

     ตัวอย่างเช่น หากส่วนขยายเขียนข้อมูลลงในอินสแตนซ์ Realtime Database ส่วนขยายจะต้องมีบทบาท Realtime Database (โดยเฉพาะ firebasedatabase.admin)

   • หากส่วนขยายเพียงแค่รอเหตุการณ์เรียกให้แสดงจากผลิตภัณฑ์ ส่วนขยายไม่จําเป็นต้องมีบทบาทที่เชื่อมโยงกับผลิตภัณฑ์นั้น

     ตัวอย่างเช่น หากส่วนขยายทริกเกอร์เมื่อมีการเขียนลงในอินสแตนซ์ Realtime Database (แต่ไม่ได้เขียนข้อมูลลงในฐานข้อมูล) ส่วนขยายไม่ต้องใช้บทบาท Realtime Database

2. หลังจากที่คุณระบุผลิตภัณฑ์แล้วว่าส่วนขยายของคุณโต้ตอบด้วยผลิตภัณฑ์ใด คุณจะต้องตัดสินใจว่าจะมีบทบาทใดสำหรับการโต้ตอบนั้น ผลิตภัณฑ์บางอย่างมีบทบาทที่แตกต่างกันขึ้นอยู่กับการกระทำหรือชุดการดำเนินการที่เกิดขึ้น

   ตัวอย่างเช่น สมมติว่าชิ้นงานของคุณโต้ตอบกับCloud Storage ที่เก็บข้อมูล บทบาท storage.objectCreator จะอนุญาตให้ส่วนขยายสร้างออบเจ็กต์ในที่เก็บข้อมูล Cloud Storage แต่จะไม่อนุญาตให้ส่วนขยายดู ลบ หรือเขียนทับออบเจ็กต์ หากต้องการเปิดใช้ส่วนขยายเพื่อดําเนินการเพิ่มเติมเหล่านั้น คุณต้องกําหนดบทบาท storage.objectAdmin แทน

โปรดดูส่วนด้านล่างของหน้านี้เพื่อดูบทบาทที่รองรับทั้งหมดที่คุณอาจกำหนดให้กับบัญชีบริการของส่วนขยาย ดูคำอธิบายและสิทธิ์ของบทบาทแต่ละบทบาทได้ที่เอกสารประกอบของ Firebase หรือเอกสารประกอบของ Google Cloud คุณยังค้นหาบทบาทได้ในแผง IAM และผู้ดูแลระบบของคอนโซล Google Cloud อีกด้วย

วิธีมอบหมายบทบาทให้กับส่วนขยาย

ระบุบทบาท IAM ที่จำเป็นต่อการทำงานของส่วนขยายในส่วน roles ของไฟล์ extension.yaml

ต่อไปนี้คือตัวอย่างของส่วนขยายที่คอยฟังเส้นทาง Firebase Realtime Database ที่ระบุ เมื่อทริกเกอร์ ชิ้นงานจะอัปเดตอีเมลของบัญชีผู้ใช้ (การโต้ตอบกับ Firebase Authentication) และส่งการแจ้งเตือน (การโต้ตอบกับ Firebase Cloud Messaging) โปรดสังเกตสิ่งต่อไปนี้

• แม้ว่าส่วนขยายทริกเกอร์จากเหตุการณ์ Realtime Database จะไม่มีบทบาท firebasedatabase.admin อยู่ในรายการ (การฟังไม่ถือว่าเป็นการโต้ตอบ)
• เนื่องจากส่วนขยายโต้ตอบกับ Authentication และ Cloud Messaging ส่วนขยายจึงต้องมีบทบาทในการเข้าถึงผลิตภัณฑ์เหล่านั้น (firebaseauth.admin และ firebasenotifications.admin ตามลำดับ)

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

ในไฟล์ extension.yaml ให้ใช้ช่องต่อไปนี้เพื่อมอบหมายบทบาทให้กับบัญชีบริการของส่วนขยาย

ลดขอบเขตของบทบาท

ส่วนขยายควรเป็นไปตามหลักของสิทธิ์ขั้นต่ำและขอสิทธิ์เข้าถึงทรัพยากรที่จำเป็นเท่านั้น คุณจำกัดขอบเขตการเข้าถึงของส่วนขยายได้โดยใช้ช่อง role.resource เช่น หากส่วนขยายต้องเขียนออบเจ็กต์ไปยังที่เก็บข้อมูล Cloud Storage คุณอาจใช้บทบาทต่อไปนี้

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

ซึ่งจะช่วยให้ส่วนขยายเข้าถึงเฉพาะที่เก็บข้อมูลที่ต้องการเท่านั้น และจะไม่เข้าถึงที่เก็บข้อมูลอื่นๆ ในโปรเจ็กต์เดียวกัน

ช่องนี้รองรับโปรเจ็กต์ (projects/{project_id}) และที่เก็บข้อมูล (projects/{project_id}/buckets/{bucket_id})

บทบาทที่รองรับสำหรับส่วนขยาย

ตารางต่อไปนี้แสดงบทบาท IAM ที่รองรับสำหรับการโต้ตอบกับผลิตภัณฑ์ Firebase บทบาทส่วนใหญ่ในตารางนี้เป็นบทบาทระดับผลิตภัณฑ์ Firebase แต่บางบทบาทได้รับการจัดการโดย Google Cloud โดยตรง (โดยเฉพาะ Cloud Firestore และ Cloud Storage)

ผลิตภัณฑ์ Firebase

ผลิตภัณฑ์ Google Cloud

ดูข้อมูลเกี่ยวกับบทบาทเหล่านี้ในเอกสารประกอบของ Google Cloud