Geeigneten Zugriff für eine Erweiterung einrichten

Damit eine Erweiterung die angegebenen Aktionen ausführen kann, gewährt Firebase jeder Instanz einer installierten Erweiterung über ein Dienstkonto eingeschränkten Zugriff auf das Projekt und die zugehörigen Daten.

Was ist ein Dienstkonto?

Ein Dienstkonto ist eine spezielle Art von Google-Nutzerkonto. Es repräsentiert einen Nutzer nicht menschlicher Natur, der autorisierte API-Aufrufe an Google-Dienste senden kann.

Während der Installation einer Erweiterung erstellt Firebase ein Dienstkonto für die Erweiterung im Projekt. Jede installierte Instanz einer Erweiterung hat ein eigenes Dienstkonto. Wenn eine Erweiterungsinstanz deinstalliert wird, löscht Firebase das Dienstkonto der Erweiterung.

Dienstkonten, die für Erweiterungen erstellt werden, haben das Format:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase beschränkt den Zugriff einer Erweiterung auf ein Projekt und dessen Daten, indem dem Dienstkonto der Erweiterung bestimmte Rollen (Berechtigungspakete) zugewiesen werden. Beim Erstellen einer Erweiterung legen Sie fest, welche Rollen die Erweiterung benötigt. Anschließend listen Sie diese Rollen in der Datei extension.yaml auf und geben an, aus welchem Grund die Erweiterung sie benötigt (siehe Beispiel unten auf dieser Seite).

Bestimmen, welche Rollen für die Erweiterung erforderlich sind

Beim Erstellen der Erweiterung legen Sie fest, welche Zugriffsrechte für die Funktion der Erweiterung erforderlich sind.

Während der Installation fordert die Firebase-Befehlszeile den Nutzer auf, die Zugriffsebene zu akzeptieren, die von jeder Rolle gewährt wird. Wenn für Ihre Erweiterung mehr Rollen angefordert werden, als tatsächlich erforderlich sind, ist die Wahrscheinlichkeit geringer, dass Nutzer sie installieren.

1. So prüfen Sie, ob Ihre Erweiterung mit einem Produkt interagiert:

   • Wenn Ihre Erweiterung mit einem Produkt interagiert, müssen Sie Ihrer Erweiterung Zugriff auf dieses Produkt gewähren.

     Wenn Ihre Erweiterung beispielsweise Daten in eine Realtime Database-Instanz schreibt, benötigt sie eine Realtime Database-Rolle (genauer gesagt firebasedatabase.admin).

   • Wenn Ihre Erweiterung nur auf ein auslösendes Ereignis von einem Produkt wartet, muss sie nicht mit diesem Produkt verknüpft sein.

     Wenn Ihre Erweiterung beispielsweise bei einem Schreibvorgang in eine Realtime Database-Instanz ausgelöst wird, aber nichts in die Datenbank schreibt, benötigt sie keine Realtime Database-Rolle.

2. Nachdem Sie festgelegt haben, mit welchen Produkten Ihre Erweiterung interagiert, müssen Sie entscheiden, welche Rolle für die jeweilige Interaktion erforderlich ist. Bei einigen Produkten sind je nach Aktion oder Aktionsreihe unterschiedliche Rollen verfügbar.

   Angenommen, Ihre Erweiterung interagiert mit einem Cloud Storage-Bucket. Mit der Rolle storage.objectCreator kann die Erweiterung ein Objekt in einem Cloud Storage-Bucket erstellen, aber keine Objekte ansehen, löschen oder überschreiben. Damit die Erweiterung diese zusätzlichen Aktionen ausführen kann, müssen Sie ihr stattdessen die Rolle storage.objectAdmin zuweisen.

Im Abschnitt unten auf dieser Seite finden Sie eine Liste aller unterstützten Rollen, die Sie dem Dienstkonto Ihrer Erweiterung zuweisen können. Eine Beschreibung der einzelnen Rollen und die erteilten Berechtigungen finden Sie in der Firebase-Dokumentation oder in der Google Cloud-Dokumentation. Sie können Rollen auch im Bereich IAM & Verwaltung der Google Cloud Console aufrufen.

Rollen einer Erweiterung zuweisen

Geben Sie die IAM-Rollen, die für die Funktion Ihrer Erweiterung erforderlich sind, im Abschnitt roles der Datei extension.yaml an.

Hier ist ein Beispiel für eine Erweiterung, die auf einen bestimmten Firebase Realtime Database-Pfad achtet. Wenn die Erweiterung ausgelöst wird, aktualisiert sie die E-Mail-Adresse eines Nutzerkontos (Interaktion mit Firebase Authentication) und sendet eine Benachrichtigung (Interaktion mit Firebase Cloud Messaging). Beachten Sie Folgendes:

• Auch wenn die Erweiterung durch ein Realtime Database-Ereignis ausgelöst wird, ist die Rolle firebasedatabase.admin nicht aufgeführt. Das Anhören wird nicht als Interaktion betrachtet.
• Da die Erweiterung mit Authentication und Cloud Messaging interagiert, benötigt sie Rollen für den Zugriff auf diese Produkte (firebaseauth.admin und firebasenotifications.admin).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

Verwenden Sie in der Datei extension.yaml die folgenden Felder, um dem Dienstkonto einer Erweiterung eine Rolle zuzuweisen:

Umfang von Rollen reduzieren

Erweiterungen sollten dem Prinzip der geringsten Berechtigung folgen und nur Zugriff auf die Ressourcen anfordern, die sie benötigen. Sie können den Zugriffsbereich einer Erweiterung mithilfe des Felds role.resource einschränken. Wenn Ihre Erweiterung beispielsweise Objekte in einen Cloud Storage-Bucket schreiben muss, können Sie die folgende Rolle verwenden:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

So kann die Erweiterung nur auf den benötigten Bucket zugreifen und nicht auf andere im selben Projekt.

Dieses Feld unterstützt Projekte (projects/{project_id}) und Storage-Buckets (projects/{project_id}/buckets/{bucket_id}).

Unterstützte Rollen für Erweiterungen

In der folgenden Tabelle sind die unterstützten IAM-Rollen für die Interaktion mit Firebase-Produkten aufgeführt. Die meisten Rollen in dieser Tabelle sind Firebase-Rollen auf Produktebene. Einige werden jedoch direkt von Google Cloud verwaltet, insbesondere Cloud Firestore und Cloud Storage.

Firebase-Produkte

Google Cloud-Produkte

Weitere Informationen zu diesen Rollen finden Sie in der Google Cloud-Dokumentation.