Konfigurowanie odpowiedniego dostępu do rozszerzenia

Aby rozszerzenie mogło wykonywać określone działania, Firebase przyznaje każdemu wystąpieniu zainstalowanego rozszerzenia ograniczony dostęp do projektu i jego danych za pomocą konta usługi.

Co to jest konto usługi?

Konto usługi to specjalny rodzaj konta użytkownika Google. Jest to użytkownik, który nie jest człowiekiem i który może wykonywać autoryzowane wywołania interfejsów API do usług Google.

Podczas instalacji rozszerzenia Firebase tworzy konto usługi dla rozszerzenia w projekcie. Każda zainstalowana instancja rozszerzenia ma własne konto usługi. Jeśli instancja rozszerzenia zostanie odinstalowana, Firebase usunie konto usługi tego rozszerzenia.

Konta usługi utworzone dla rozszerzeń mają format:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase ogranicza dostęp rozszerzenia do projektu i jego danych, przypisując do konta usługi rozszerzenia określone role (pakiety uprawnień). Podczas tworzenia rozszerzenia określasz role, jakie musi ono działać, a następnie wymieniasz te role w pliku extension.yaml (patrz przykład u dołu strony).

Określ, jakich ról wymaga Twoje rozszerzenie

Podczas tworzenia rozszerzenia określasz poziom dostępu, którego potrzebuje ono do działania.

Podczas instalacji narzędzie wiersza poleceń Firebase wyświetla użytkownikowi monit o zaakceptowanie poziomu dostępu przyznanego przez każdą rolę. Jeśli rozszerzenie wymaga więcej ról, niż jest to konieczne, użytkownicy mogą być mniej skłonni do jego zainstalowania.

1. Sprawdź, czy Twoje rozszerzenie wchodzi w interakcję z usługą:

   • Jeśli Twoja rozszerzenie współdziała z jakimś produktem, musisz przyznać temu produktowi dostęp do rozszerzenia.

     Jeśli na przykład rozszerzenie zapisuje dane w instansji Realtime Database, potrzebuje roli Realtime Database (dokładnie firebasedatabase.admin).

   • Jeśli rozszerzenie tylko nasłuchuje na potrzeby wywołania zdarzenia z produktu, nie musi mieć roli powiązanej z tym produktem.

     Jeśli na przykład rozszerzenie uruchamia się po zapisaniu danych w instancji Realtime Database (ale nie zapisuje niczego w bazie danych), nie potrzebuje roli Realtime Database.

2. Gdy określisz, z jakimi usługami interaguje Twoje rozszerzenie, musisz zdecydować, jaka rola jest wymagana do tej konkretnej interakcji. Niektóre produkty oferują różne role w zależności od wykonanego działania lub zestawu działań.

   Załóżmy np., że Twoje rozszerzenie wchodzi w interakcję z grupą Cloud Storage. Rola storage.objectCreator pozwoliłaby rozszerzeniu tworzyć obiekty w zasośniku Cloud Storage, ale nie pozwoliłaby mu wyświetlać, usuwać ani zastępować obiektów. Aby umożliwić rozszerzeniu wykonywanie tych dodatkowych działań, musisz przypisać mu rolę storage.objectAdmin.

W sekcji u dołu tej strony znajdziesz wszystkie obsługiwane role, które możesz przypisać do konta usługi rozszerzenia. Aby dowiedzieć się więcej o każdej roli i przypisanych do niej uprawnieniach, zapoznaj się z dokumentacją Firebase lub dokumentacją Google Cloud. Role możesz też sprawdzić w panelu Administracja konsoli Google Cloud.

Jak przypisać role do rozszerzenia

W sekcji roles pliku extension.yaml podaj role uprawnień wymagane do działania rozszerzenia.

Oto przykład rozszerzenia, które nasłuchuje określonej ścieżki Firebase Realtime Database. Po uruchomieniu rozszerzenie aktualizuje adres e-mail konta użytkownika (interakcja z Firebase Authentication) i wysyła powiadomienie (interakcja z Firebase Cloud Messaging). Zwróć uwagę na te kwestie:

• Chociaż rozszerzenie uruchamia zdarzenie Realtime Database, rola firebasedatabase.admin nie jest wymieniona (nasłuchiwanie nie jest uważane za interakcję).
• Ponieważ rozszerzenie współdziała z usługami Authentication i Cloud Messaging, wymaga ról zapewniających dostęp do tych usług (odpowiednio firebaseauth.admin i firebasenotifications.admin).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

Aby przypisać rolę kontu usługi rozszerzenia, użyj w pliku extension.yaml tych pól:

Ograniczanie zakresu ról

Rozszerzenia powinny być zgodne z zasadą jak najmniejszych uprawnień i prosić o dostęp tylko do potrzebnych zasobów. Zakres dostępu rozszerzenia możesz ograniczyć, używając pola role.resource. Jeśli na przykład rozszerzenie musi zapisywać obiekty w zasobniku Cloud Storage, możesz użyć tej roli:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

Dzięki temu rozszerzenie ma dostęp tylko do potrzebnego zasobnika, a nie do innych zasobów w tym samym projekcie.

To pole obsługuje projekty (projects/{project_id}) i zasobniki usługi Storage (projects/{project_id}/buckets/{bucket_id}).

Obsługiwane role rozszerzeń

W tabeli poniżej znajdziesz obsługiwane role uprawnień umożliwiające interakcję z usługami Firebase. Większość ról w tej tabeli to role na poziomie usługi Firebase, ale niektórymi zarządza bezpośrednio Google Cloud (dotyczy to ról Cloud Firestore i Cloud Storage).

Usługi Firebase

Usługi Google Cloud

Więcej informacji o tych rolach znajdziesz w dokumentacji Google Cloud.