إعداد الوصول المناسب لإحدى الإضافات

لكي تتمكّن إحدى الإضافات من تنفيذ الإجراءات المحدّدة لها، تمنح Firebase لكل مثيل من الإضافة المثبّتة إذن وصول محدودًا إلى المشروع وبياناته من خلال حساب خدمة.

ما هو حساب الخدمة؟

حساب الخدمة هو نوع خاص من حسابات مستخدمي Google. ويمثّل هذا المستخدم مستخدمًا غير بشري يمكنه إجراء طلبات مفوَّضة من واجهة برمجة التطبيقات إلى خدمات Google.

أثناء تثبيت إحدى الإضافات، تنشئ Firebase حساب خدمة للإضافه في المشروع. لكلّ نسخة مثبّتة من إحدى الإضافات حساب خدمات خاص بها. وإذا تم إلغاء تثبيت مثيل الإضافة، ستحذف Firebase حساب خدمة الإضافة.

تكون حسابات الخدمة التي تم إنشاؤها للإضافات بالتنسيق التالي:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

تحدّ Firebase من إمكانية وصول إحدى الإضافات إلى مشروع وبياناته من خلال منح أدوار (حِزم من الأذونات) محدّدة لحساب الخدمة الخاص بالإضافة. عند إنشاء إضافة، عليك تحديد الأدوار التي تتطلّبها الإضافة لتشغيلها، ثم إدراج هذه الأدوار وسبب احتياجها إلى هذه الأدوار في ملف extension.yaml (راجِع المثال في أسفل هذه الصفحة).

تحديد الأدوار التي تتطلّبها الإضافة

عند إنشاء الإضافة، تحدِّد مستوى الوصول الذي تتطلّبه الإضافة للتشغيل.

أثناء التثبيت، تطلب واجهة Firebase CLI من المستخدم قبول مستوى الوصول الذي يمنحه كل دور. إذا كانت الإضافة تطلب أدوارًا أكثر مما تحتاجه، قد يقل احتمال تثبيتها من قِبل المستخدمين.

1. حدِّد ما إذا كانت إضافتك تتفاعل مع منتج:

   • إذا كانت الإضافة تتفاعل مع منتج، عليك منح الإضافة إذن الوصول إلى ذلك المنتج.

     على سبيل المثال، إذا كانت الإضافة تُسجِّل البيانات في مثيل Realtime Database، يجب أن يكون لدى الإضافة دور Realtime Database (على وجه التحديد، firebasedatabase.admin).

   • إذا كانت الإضافة تستمع فقط إلى حدث تشغيل من أحد المنتجات، لا تحتاج الإضافة إلى دور مرتبط بهذا المنتج.

     على سبيل المثال، إذا كانت الإضافة تُشغَّل عند الكتابة في مثيل Realtime Database (ولكنّها لا تكتب أي شيء في قاعدة البيانات)، فإنّ الإضافة لا تحتاج إلى دور Realtime Database.

2. بعد تحديد المنتجات التي تتفاعل إضافتك معها، عليك تحديد الدور المطلوب لهذا التفاعل المحدّد. تقدّم بعض المنتجات أدوارًا مختلفة استنادًا إلى الإجراء أو مجموعة الإجراءات التي تم تنفيذها.

   على سبيل المثال، لنفترض أنّ إضافتك تتفاعل مع Cloud Storage مجموعة. سيسمح الدور storage.objectCreator للإضافة بإنشاء عنصر في حزمة Cloud Storage، ولكن لن يتيح هذا الدور للإضافة عرض العناصر أو حذفها أو استبدالها. لتفعيل الإضافة كي تتمكّن من تنفيذ هذه الإجراءات الإضافية، عليك منح الدور storage.objectAdmin بدلاً من ذلك.

راجِع القسم في أسفل هذه الصفحة للاطّلاع على كل الأدوار المتوافقة التي يمكنك منحها لحساب خدمة الإضافة. للتعرّف على وصف كل دور والأذونات الممنوحة، يُرجى الانتقال إلى مستندات Firebase أو مستندات Google Cloud. يمكنك أيضًا البحث عن الأدوار في لوحة "إدارة الهوية وإمكانية الوصول" في "وحدة تحكّم Google Cloud".

كيفية إسناد أدوار إلى إضافة

أدخِل أدوار إدارة الهوية وإمكانية الوصول المطلوبة لكي تعمل الإضافة في قسم roles من ملف extension.yaml.

في ما يلي مثال على إضافة تستمع إلى مسار Firebase Realtime Database محدّد. عند بدء الإجراء، تعدّل الإضافة بريدًا إلكترونيًا في حساب مستخدم (تفاعل مع Firebase Authentication) وتُرسِل إشعارًا (تفاعل مع Firebase Cloud Messaging). يُرجى ملاحظة ما يلي:

• مع أنّ الإضافة يتم تشغيلها من حدث Realtime Database، لا يتم إدراج الدور firebasedatabase.admin (لا يُعتبر الاستماع تفاعلاً).
• بما أنّ الإضافة تتفاعل مع Authentication وCloud Messaging، تتطلّب الإضافة أدوارًا للوصول إلى هذين المنتجَين (firebaseauth.admin و firebasenotifications.admin، على التوالي).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

في ملف extension.yaml، استخدِم الحقول التالية لمنح دور لحساب الخدمة للإضافة:

تقليل نطاق الأدوار

يجب أن تتّبع الإضافات مبدأ الحد الأدنى من الامتيازات وأن تطلب فقط الوصول إلى الموارد التي تحتاجها. يمكنك تقييد نطاق وصول إحدى الإضافات باستخدام الحقل role.resource. على سبيل المثال، إذا كانت الإضافة بحاجة إلى كتابة عناصر في حزمة على Cloud Storage، يمكنك استخدام الدور التالي:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

يتيح ذلك للإضافة الوصول إلى الحزمة التي تحتاج إليها فقط، وليس إلى الحزم الأخرى في المشروع نفسه.

يتوافق هذا الحقل مع المشاريع (projects/{project_id}) و حِزم التخزين (projects/{project_id}/buckets/{bucket_id}).

الأدوار المتوافقة للإضافات

يسرد الجدول التالي أدوار إدارة الهوية وإمكانية الوصول المتوافقة للتفاعل مع منتجات Firebase. معظم الأدوار الواردة في هذا الجدول هي أدوار على مستوى منتج Firebase، ولكن تدير Google Cloud بعض الأدوار مباشرةً (على وجه التحديد، Cloud Firestore و Cloud Storage).

منتجات Firebase

منتجات Google Cloud

تعرَّف على المزيد من المعلومات عن هذه الأدوار في مستندات Google Cloud.