איך להגדיר גישה מתאימה לתוסף

כדי שהתוסף יוכל לבצע את הפעולות שצוינו, מערכת Firebase מעניקה לכל מכונה של תוסף מותקן גישה מוגבלת לפרויקט ולנתונים שלו באמצעות חשבון שירות.

מהו חשבון שירות?

חשבון שירות הוא סוג מיוחד של חשבון משתמש ב-Google. הוא מייצג משתמש לא אנושי שיכול לבצע קריאות מורשות ל-API לשירותי Google.

במהלך ההתקנה של התוסף, מערכת Firebase יוצרת חשבון שירות לתוסף בפרויקט. לכל מכונה מותקנת של תוסף יש חשבון שירות משלה. אם מבטלים את ההתקנה של מכונה של תוסף, מערכת Firebase מוחקת את חשבון השירות של התוסף.

חשבונות השירות שנוצרים עבור התוספים הם בפורמט:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

מערכת Firebase מגבילה את הגישה של התוסף לפרויקט ולנתונים שלו על ידי הקצאת תפקידים ספציפיים (חבילות של הרשאות) לחשבון השירות של התוסף. כשאתם מפתחים תוסף, אתם קובעים אילו תפקידים נדרשים לתוסף כדי לפעול, ואז מציינים את התפקידים האלה ואת הסיבה לכך שהתוסף זקוק להם בקובץ extension.yaml (דוגמה בחלק התחתון של הדף הזה).

איך קובעים אילו תפקידים נדרשים לתוסף

כשאתם מפתחים את התוסף, אתם קובעים את רמת הגישה שנדרשת לו כדי לפעול.

במהלך ההתקנה, ה-CLI של Firebase ידרוש מהמשתמש לאשר את רמת הגישה שמוענקת לכל תפקיד. אם התוסף מבקש יותר תפקידים ממה שהוא באמת צריך, יכול להיות שהמשתמשים לא יתקינו אותו.

1. בודקים אם התוסף מקיים אינטראקציה עם מוצר:

   • אם התוסף מתקשר עם מוצר, צריך לתת לתוסף גישה למוצר הזה.

     לדוגמה, אם התוסף כותב נתונים למכונה של Realtime Database, לתוסף צריך תפקיד Realtime Database (במיוחד firebasedatabase.admin).

   • אם התוסף רק מקשיב לאירוע מפעיל ממוצר, אז לא נדרש לתוסף תפקיד שמשויך למוצר הזה.

     לדוגמה, אם התוסף מפעיל במהלך הכתיבה במכונה של Realtime Database (אבל לא כותב שום דבר למסד הנתונים), לא נדרש התפקיד Realtime Database.

2. אחרי שתקבעו אילו מוצרים התוסף מתקשר איתם, תצטרכו להחליט איזה תפקיד נדרש לאינטראקציה הספציפית הזו. במוצרים מסוימים יש תפקידים שונים בהתאם לפעולה או לקבוצת הפעולות שמבצעים.

   לדוגמה, נניח שהתוסף שלכם יוצר אינטראקציה עם קטגוריה (bucket) בשם Cloud Storage. התפקיד storage.objectCreator יאפשר לתוסף ליצור אובייקט בקטגוריה Cloud Storage, אבל התפקיד הזה לא יאפשר לתוסף להציג, למחוק או לשכתב אובייקטים. כדי לאפשר לתוסף לבצע את הפעולות הנוספות האלה, צריך להקצות לו את התפקיד storage.objectAdmin במקום זאת.

בקטע שבתחתית הדף הזה מפורטים כל התפקידים הנתמכים שאפשר להקצות לחשבון השירות של התוסף. במסמכי התיעוד של Firebase או במאמרי העזרה של Google Cloud מפורט מידע נוסף על התיאור וההרשאות של כל תפקיד. אפשר גם לחפש תפקידים בלוח IAM ואדמין במסוף Google Cloud.

איך מקצים תפקידים לתוסף

בקטע roles בקובץ extension.yaml, מציינים את תפקידי ה-IAM הנדרשים כדי שהתוסף יפעל.

זוהי דוגמה לתוסף שמאזין לנתיב Firebase Realtime Database שצוין. כשהתוסף מופעל, הוא מעדכן את כתובת האימייל של חשבון המשתמש (אינטראקציה עם Firebase Authentication) ושולח התראה (אינטראקציה עם Firebase Cloud Messaging). חשוב לשים לב לדברים הבאים:

• למרות שהתוסף מופעל על ידי אירוע Realtime Database, התפקיד firebasedatabase.admin לא מופיע ברשימה (האזנה לא נחשבת אינטראקציה).
• מכיוון שהתוסף מתקשר עם Authentication ו-Cloud Messaging, הוא דורש תפקידים כדי לגשת למוצרים האלה (firebaseauth.admin ו-firebasenotifications.admin, בהתאמה).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

בקובץ extension.yaml, משתמשים בשדות הבאים כדי להקצות תפקיד לחשבון השירות של התוסף:

צמצום היקף התפקידים

התוספים צריכים לפעול בהתאם לעיקרון של הרשאות מינימליות ולבקש גישה רק למשאבים שנחוצים להם. אפשר להגביל את היקף הגישה של התוסף באמצעות השדה role.resource. לדוגמה, אם התוסף צריך לכתוב אובייקטים לקטגוריה של Cloud Storage, אפשר להשתמש בתפקיד הבא:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

כך התוסף יוכל לגשת רק לקטגוריה הדרושה, ולא לאחרות באותו פרויקט.

השדה הזה תומך בפרויקטים (projects/{project_id}) ובקטגוריות אחסון (projects/{project_id}/buckets/{bucket_id}).

התפקידים הנתמכים בתוספים

בטבלה הבאה מפורטים תפקידי IAM נתמכים ליצירת אינטראקציה עם מוצרי Firebase. רוב התפקידים בטבלה הזו הם תפקידים ברמת המוצר ב-Firebase, אבל חלקם מנוהלים ישירות על ידי Google Cloud (באופן ספציפי, Cloud Firestore ו-Cloud Storage).

מוצרי Firebase

מוצרי Google Cloud

מידע נוסף על התפקידים האלה זמין במסמכי התיעוד של Google Cloud.