為擴充功能設定適當存取權

為了讓擴充功能執行指定動作，Firebase 會透過服務帳戶，授予已安裝擴充功能的每個執行個體對專案及其資料的有限存取權。

什麼是服務帳戶？

服務帳戶是特殊的 Google 使用者帳戶，代表可對 Google 服務發出已授權 API 呼叫的非人類使用者。

在安裝擴充功能時，Firebase 會為專案中的擴充功能建立服務帳戶。每個已安裝的擴充功能例項都有自己的服務帳戶。如果解除安裝擴充功能執行個體，Firebase 會刪除該擴充功能的服務帳戶。

為擴充功能建立的服務帳戶格式如下：

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase 會將特定角色 (權限組合) 指派給擴充功能的服務帳戶，藉此限制擴充功能對專案及其資料的存取權。建構擴充功能時，您必須判斷擴充功能需要哪些角色才能運作，然後在 extension.yaml 檔案中列出這些角色，以及擴充功能需要這些角色的原因 (請參閱本頁底部的範例)。

決定擴充功能需要哪些角色

建構擴充功能時，您可以決定擴充功能運作所需的存取層級。

在安裝期間，Firebase CLI 會提示使用者接受每個角色授予的存取層級。如果擴充功能要求的角色多於實際需要的角色，使用者可能不太可能安裝。

1. 判斷擴充功能是否與產品互動：

   • 如果你的擴充功能與產品「互動」，你必須授予擴充功能存取該產品的權限。

     舉例來說，如果擴充功能會將資料寫入 Realtime Database 執行個體，擴充功能就需要 Realtime Database 角色 (尤其是 firebasedatabase.admin)。

   • 如果擴充功能只是監聽產品觸發事件，則擴充功能不需要與該產品相關聯的角色。

     舉例來說，如果你的擴充功能會在寫入 Realtime Database 執行個體時「觸發」 (但不會將任何內容寫入資料庫)，則擴充功能「不需要」Realtime Database 角色。

2. 確定擴充功能與哪些產品互動後，您需要決定該互動需要哪些角色。部分產品會根據執行的動作或動作組合提供不同的角色。

   舉例來說，假設您的擴充功能與 Cloud Storage 值區互動。storage.objectCreator 角色可讓擴充功能在 Cloud Storage 值區中「建立」物件，但該角色不允許擴充功能查看、刪除或覆寫物件。如要讓擴充功能執行這些額外動作，您必須改為指派 storage.objectAdmin 角色。

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}