Aby rozszerzenie wykonało określone działania, Firebase przyznaje uprawnienia każdej instancji zainstalowanego rozszerzenia ma ograniczony dostęp do projektu i jego danych za pomocą konto usługi.
Co to jest konto usługi?
konta usługi, to specjalny typ konta użytkownika Google. Przedstawia on użytkownika, który nie jest człowiekiem, może wykonywać autoryzowane wywołania interfejsu API usług Google.
Podczas instalowania rozszerzenia Firebase tworzy konto usługi dla w projekcie. Każda zainstalowana instancja rozszerzenia ma swoje własne konta usługi. Jeśli instancja rozszerzenia zostanie odinstalowana, Firebase usunie konta usługi rozszerzenia.
Konta usługi utworzone na potrzeby rozszerzeń mają format:
ext-extension-instance-id@project-id.iam.gserviceaccount.com
Firebase ogranicza dostęp rozszerzenia do projektu i jego danych przez przypisanie
konkretnych ról (pakietów uprawnień),
z kontem usługi rozszerzenia. Tworząc rozszerzenie,
określonych ról wymaganych do działania rozszerzenia, należy
role i powód, dla którego rozszerzenie wymaga tych ról w extension.yaml
.
(zobacz przykład u dołu tej strony).
Określ role wymagane przez rozszerzenie
Tworząc rozszerzenie, określasz poziom dostępu, jaki ma rozszerzenie wymaga działania.
Podczas instalacji interfejs wiersza poleceń Firebase prosi użytkownika o zaakceptowanie poziom dostępu przyznany przez daną rolę. Jeśli rozszerzenie wymaga większej liczby ról użytkownicy mogą być mniej skłonni do jej zainstalowania.
Określ, czy rozszerzenie współpracuje z produktem:
Jeśli rozszerzenie wchodzi w interakcję z produktem, musisz określić dostęp rozszerzenia do danej usługi.
Jeśli na przykład rozszerzenie zapisuje dane w instancji Bazy danych czasu rzeczywistego, rozszerzenie wymaga roli Bazy danych czasu rzeczywistego (w szczególności
firebasedatabase.admin
).Jeśli rozszerzenie nasłuchuje zdarzenia aktywującego , rozszerzenie nie musi mieć przypisanej roli z danym produktem.
Jeśli na przykład rozszerzenie uruchamia się przy zapisie w bazie danych czasu rzeczywistego (ale nie zapisuje niczego w bazie danych), rozszerzenie nie wymaga roli Baza danych czasu rzeczywistego.
Po ustaleniu, z którymi produktami wchodzi w interakcje z rozszerzeniem, określić, jaka rola jest wymagana w przypadku danej interakcji. Niektóre produkty oferują różne role w zależności od działania lub zestawu działań przeprowadzonych przez nas działań.
Załóżmy, że rozszerzenie współpracuje z Cloud Storage zasobnika. Rola w usłudze
storage.objectCreator
umożliwi rozszerzeniu utworzyć obiekt w zasobniku Cloud Storage, ale ta rola nie zezwala na dostęp , aby wyświetlać, usuwać lub zastępować obiekty. Aby włączyć rozszerzenie tych dodatkowych działań, musisz przypisać Zamiast tego rolę:storage.objectAdmin
.
Zapoznaj się z sekcją u dołu tej strony, aby poznać wszystkie obsługiwanych ról, które możesz przypisać do usługi rozszerzenia koncie. Więcej informacji o opisie każdej roli i przyznanych uprawnieniach znajdziesz na stronie dokumentację Firebase lub dokumentacji Google Cloud. Możesz też wyszukać role w konsoli Google Cloud Uprawnienia panelu administracyjnym.
Jak przypisać role do rozszerzenia
W sekcji roles
wymień role uprawnień wymagane do działania rozszerzenia
z pliku extension.yaml
.
Oto przykład rozszerzenia, które nasłuchuje określonego Ścieżka do Bazy danych czasu rzeczywistego Firebase. Po uruchomieniu rozszerzenie aktualizuje konto użytkownika e-maila (interakcja z Uwierzytelnianiem Firebase) i wysyłanie powiadomienia (interakcja). dzięki Komunikacji w chmurze Firebase (FCM). Uwaga:
- Mimo że rozszerzenie jest wywoływane przez zdarzenie Bazy danych czasu rzeczywistego, tag
Rola
firebasedatabase.admin
nie jest wymieniona (słuchanie nie jest uznawane za interakcja). - Rozszerzenie działa z Uwierzytelnianiem i Komunikacją w chmurze, dlatego
wymaga uprawnień dostępu do tych usług (
firebaseauth.admin
ifirebasenotifications.admin
).
# extension.yaml
...
# Roles assigned to the extension's service account by Firebase during installation
roles:
- role: firebaseauth.admin
reason: Required to update the email address of the user account
- role: firebasenotifications.admin
reason: Required to send a notification that the email address has been updated
...
W pliku extension.yaml
użyj tych pól, aby przypisać rolę użytkownikowi
konto usługi rozszerzenia:
Pole | Typ | Opis |
---|---|---|
role (wymagane) |
ciąg znaków | Nazwa roli uprawnień wymaganej przez rozszerzenie do działania |
reason (wymagane) |
ciąg znaków |
Krótki opis powodu, dla którego rozszerzenie potrzebuje dostępu przyznane przez rolę Podaj wystarczającą ilość szczegółów, aby użytkownik wiedział, jak rozszerzenie używa tej roli. |
resource (opcjonalnie) |
ciąg znaków |
Do którego zasobu zasada uprawnień należy dodać tę rolę. Jeśli zostanie pominięty,
domyślna wartość to
Obsługiwane wartości to |
Ogranicz zakres ról
Rozszerzenia powinny być zgodne z zasadą jak najmniejszych uprawnień i powinny być wysyłane tylko
dostęp do potrzebnych zasobów.
Zakres dostępu rozszerzenia możesz ograniczyć w polu role.resource
.
Jeśli na przykład rozszerzenie musi zapisywać obiekty w zasobniku Cloud Storage,
możesz użyć tej roli:
roles:
- role: storage.objectCreator
reason: Needed in order to write
resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}
Dzięki temu rozszerzenie ma dostęp tylko do potrzebnego zasobnika. a nie innych w tym samym projekcie.
To pole obsługuje projekty (projects/{project_id}
) i
Zasobniki na dane (projects/{project_id}/buckets/{bucket_id}
).
Obsługiwane role rozszerzeń
W tabeli poniżej znajdziesz obsługiwane role uprawnień umożliwiające interakcję z Firebase usług. Większość ról w tej tabeli jest Role na poziomie usługi Firebase, ale niektórymi z nich zarządza bezpośrednio Google Cloud (w szczególności Cloud Firestore oraz Cloud Storage).
Usługi Firebase
Jeśli rozszerzenie wchodzi w interakcje z... | Przypisz jedną z tych ról... |
---|---|
Cloud Firestore |
datastore.importExportAdmin datastore.indexAdmin datastore.owner datastore.user datastore.viewer |
Cloud Storage dla Firebase |
storage.admin storage.objectAdmin storage.objectCreator storage.objectViewer |
Rozpowszechnianie aplikacji przez Firebase |
firebaseappdistro.admin firebaseappdistro.viewer |
Uwierzytelnianie Firebase |
firebaseauth.admin firebaseauth.viewer |
Testy A/B Firebase |
firebaseabt.admin firebaseabt.viewer |
Komunikacja w chmurze Firebase |
firebasenotifications.admin firebasenotifications.viewer |
Firebase Crashlytics |
firebasecrashlytics.admin firebasecrashlytics.viewer |
Hosting Firebase |
firebasehosting.admin firebasehosting.viewer |
Wysyłanie wiadomości w aplikacji Firebase |
firebaseinappmessaging.admin firebaseinappmessaging.viewer |
Firebase ML |
firebaseml.admin Firebaseml.viewer |
Monitorowanie wydajności Firebase |
firebaseperformance.viewer firebaseperformance.reader firebaseperformance.writer |
Baza danych czasu rzeczywistego Firebase |
firebasedatabase.admin firebasedatabase.viewer |
Reguły zabezpieczeń |
firebaserules.viewer firebaserules.developer firebaserules.deployer |
Google Analytics |
firebaseanalytics.admin firebaseanalytics.viewer |
Usługi Google Cloud
Więcej informacji o tych rolach znajdziesz w dokumentacji Google Cloud.
Jeśli rozszerzenie wchodzi w interakcje z... | Przypisz jedną z tych ról... |
---|---|
Działania |
actions.Administrator actions.Wyświetlający |
Apigee |
apigee.analyticsAgent apigee.analyticsEditor apigee.analyticsViewer apigee.apiCreator apigee.deployer apigee.developerAdmin apigee.readOnlyAdmin apigee.synchronizerManager |
App Engine |
appengine.appAdmin appengine.appViewer appengine.codeViewer appengine.deployer appengine.serviceAdmin |
AutoML |
edytor automl.editor automl.predictor automl.viewer |
BigQuery |
bigquery.connectionAdmin bigquery.connectionUser bigquery.dataEditor bigquery.dataOwner bigquery.dataViewer bigquery.jobUser bigquery.metadataViewer bigquery.readSessionUser bigquery.user |
Cloud Bigtable |
bigtable.reader bigtable.user bigtable.viewer |
Płatności | billing.viewer |
Czaty w Hangouts |
chat.owner chat.reader |
Zasoby w chmurze |
cloudasset.owner cloudasset.viewer |
Cloud Data Fusion |
datafusion.admin datafusion.viewer |
Cloud Debugger |
clouddebugger.agent clouddebugger.user |
Cloud Functions |
cloudfunctions.invoker cloudfunctions.viewer |
Cloud IAP |
iap.admin iap.httpsResourceAccessor iap.settingsAdmin iap.tunnelResourceAccessor |
Cloud IoT |
Cloudiot.deviceController cloudiot.editor cloudiot.provisioner cloudiot.viewer |
Stackdriver Profiler |
cloudprofiler.agent cloudprofiler.user |
Cloud Scheduler |
cloudscheduler.admin cloudscheduler.jobRunner cloudscheduler.viewer |
Cloud Security Scanner |
edytor cloudsecurityscanner.editor cloudsecurityscanner.runner cloudsecurityscanner.viewer |
Cloud SQL |
cloudsql.client cloudsql.editor cloudsql.viewer |
Cloud Trace |
cloudtrace.admin cloudtrace.agent cloudtrace.user |
Dataflow |
dataflow.developer dataflow.viewer dataflow.worker |
Dialogflow |
dialogflow.admin dialogflow.client dialogflow.reader |
Cloud Data Loss Prevention |
dlp.reader dlp.user |
Raportowanie błędów |
errorreporting.user errorreporting.viewer errorreporting.writer |
Eventarc |
eventarc.publisher eventarc.eventReceiver |
Cloud Filestore |
file.editor file.viewer |
Logowanie |
Logging.configWriter Logging.logWriter Logging.privateLogViewer Logging.viewer |
Machine Learning Engine |
ml.developer ml.jobOwner ml.modelOwner Użytkownik ml.model ml.operationOwner ml.viewer |
Monitorowanie |
edytor monitorowania. monitoring.metricWriter monitoring.viewer |
Notatki AI |
notebooks.admin notebooks.viewer |
Pub/Sub |
edytor pubsub.editor pubsub.publisher pubsub.subscriber pubsub.viewer |
Memorystore Redis |
redis.editor redis.viewer |
Cloud Run | run.invoker |
Źródło |
source.reader source.writer |
Cloud Spanner |
spanner.databaseAdmin spanner.databaseReader spanner.databaseUser spanner.viewer |
Wykorzystanie usług | serviceusage.apiKeysMetadataViewer |
Usługa transferu Cloud Storage |
storagetransfer.user storagetransfer.viewer |
Transkoder Cloud |
transkoder.admin transkoder.viewer |
Vertex AI | aiplatform.user |
Inne |
identity Toolkit.admin identity Toolkit.viewer |