किसी एक्सटेंशन के लिए सही ऐक्सेस सेट अप करना

किसी एक्सटेंशन को उसकी तय की गई कार्रवाइयां करने के लिए, Firebase, इंस्टॉल किए गए एक्सटेंशन के हर इंस्टेंस को सेवा खाते के ज़रिए, प्रोजेक्ट और उसके डेटा का सीमित ऐक्सेस देता है.

सेवा खाता क्या होता है?

सेवा खाता, Google उपयोगकर्ता खाते का एक खास टाइप होता है. यह किसी ऐसे उपयोगकर्ता को दिखाता है जो मानव नहीं है. हालांकि, उसके पास Google की सेवाओं के लिए, एपीआई कॉल करने की अनुमति होती है.

एक्सटेंशन इंस्टॉल करने के दौरान, Firebase प्रोजेक्ट में एक्सटेंशन के लिए एक सेवा खाता बनाता है. एक्सटेंशन के इंस्टॉल किए गए हर इंस्टेंस का अपना सेवा खाता होता है. अगर कोई एक्सटेंशन इंस्टेंस अनइंस्टॉल किया जाता है, तो Firebase एक्सटेंशन का सेवा खाता मिटा देता है.

एक्सटेंशन के लिए बनाए गए सेवा खाते इस फ़ॉर्मैट में होते हैं:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase, एक्सटेंशन के सेवा खाते को खास भूमिकाएं (अनुमतियों के बंडल) असाइन करके, किसी प्रोजेक्ट और उसके डेटा के लिए एक्सटेंशन के ऐक्सेस को सीमित करता है. एक्सटेंशन बनाते समय, यह तय किया जाता है कि आपके एक्सटेंशन को काम करने के लिए किन भूमिकाओं की ज़रूरत है. इसके बाद, इन भूमिकाओं और extension.yaml फ़ाइल में इस बात की जानकारी दी जाती है कि आपके एक्सटेंशन को इन भूमिकाओं की ज़रूरत क्यों है (इस पेज पर सबसे नीचे उदाहरण देखें).

यह तय करना कि आपके एक्सटेंशन को किन भूमिकाओं की ज़रूरत है

एक्सटेंशन बनाते समय, यह तय किया जाता है कि उसे काम करने के लिए किस लेवल का ऐक्सेस चाहिए.

इंस्टॉलेशन के दौरान, Firebase CLI उपयोगकर्ता को हर भूमिका से मिले ऐक्सेस लेवल को स्वीकार करने के लिए कहता है. अगर आपके एक्सटेंशन में ज़रूरत से ज़्यादा भूमिकाओं का अनुरोध किया जाता है, तो हो सकता है कि उपयोगकर्ताओं के इसे इंस्टॉल करने की संभावना कम हो.

1. यह पता लगाएं कि आपका एक्सटेंशन किसी प्रॉडक्ट के साथ इंटरैक्ट करता है या नहीं:

   • अगर आपका एक्सटेंशन किसी प्रॉडक्ट के साथ इंटरैक्ट करता है, तो आपको अपने एक्सटेंशन को उस प्रॉडक्ट का ऐक्सेस देना होगा.

     उदाहरण के लिए, अगर आपका एक्सटेंशन किसी Realtime Database इंस्टेंस में डेटा लिखता है, तो आपके एक्सटेंशन के पास Realtime Database भूमिका (खास तौर पर, firebasedatabase.admin) होनी चाहिए.

   • अगर आपका एक्सटेंशन किसी प्रॉडक्ट से ट्रिगर होने वाले इवेंट को सिर्फ़ सुनता है, तो आपके एक्सटेंशन को उस प्रॉडक्ट से जुड़ी भूमिका की ज़रूरत नहीं है.

     उदाहरण के लिए, अगर आपका एक्सटेंशन किसी Realtime Database इंस्टेंस में डेटा लिखने पर ट्रिगर होता है (लेकिन डेटाबेस में कुछ नहीं लिखता), तो आपके एक्सटेंशन को Realtime Database भूमिका की ज़रूरत नहीं है.

2. आपका एक्सटेंशन किन प्रॉडक्ट के साथ इंटरैक्ट करता है, यह पता लगाने के बाद आपको यह तय करना होगा कि उस खास इंटरैक्शन के लिए कौनसी भूमिका की ज़रूरत होगी. कुछ प्रॉडक्ट, की गई कार्रवाई या कार्रवाई के सेट के आधार पर अलग-अलग भूमिकाएं देते हैं.

   उदाहरण के लिए, मान लें कि आपका एक्सटेंशन किसी Cloud Storage बकेट के साथ इंटरैक्ट करता है. storage.objectCreator भूमिका की मदद से, एक्सटेंशन किसी Cloud Storage बकेट में ऑब्जेक्ट बन सकता है. हालांकि, इस भूमिका की मदद से, एक्सटेंशन ऑब्जेक्ट को न तो देख सकता है, न मिटा सकता है और न ही उसमें बदलाव कर सकता है. एक्सटेंशन को उन दूसरी कार्रवाइयों के लिए चालू करने के लिए, आपको storage.objectAdmin की भूमिका असाइन करनी होगी.

इस पेज पर सबसे नीचे दिए गए सेक्शन में, काम करने वाली उन सभी भूमिकाओं के बारे में जानें जिन्हें अपने एक्सटेंशन के सेवा खाते को असाइन किया जा सकता है. हर भूमिका के ब्यौरे और दी गई अनुमतियों के बारे में जानने के लिए, Firebase से जुड़े दस्तावेज़ या Google Cloud के दस्तावेज़ पर जाएं. Google Cloud Console के आईएएम और एडमिन पैनल में भी भूमिकाएं देखी जा सकती हैं.

किसी एक्सटेंशन को भूमिकाएं असाइन करने का तरीका

अपनी extension.yaml फ़ाइल के roles सेक्शन में, एक्सटेंशन के ऑपरेट करने के लिए ज़रूरी IAM भूमिकाओं की सूची बनाएं.

यहां एक ऐसे एक्सटेंशन का उदाहरण दिया गया है जो किसी तय किए गए Firebase Realtime Database पाथ को सुनता है. ट्रिगर किए जाने पर, एक्सटेंशन एक उपयोगकर्ता खाते के ईमेल (Firebase Authentication के साथ इंटरैक्शन) को अपडेट करता है और एक सूचना (Firebase Cloud Messaging के साथ इंटरैक्शन) भेजता है. इन बातों पर ध्यान दें:

• भले ही, एक्सटेंशन किसी Realtime Database इवेंट से ट्रिगर होता हो, लेकिन firebasedatabase.admin भूमिका सूची में नहीं है. ऐसा इसलिए है, क्योंकि सुनने को इंटरैक्शन नहीं माना जाता.
• एक्सटेंशन, Authentication और Cloud Messaging के साथ इंटरैक्ट करता है. इसलिए, एक्सटेंशन के पास उन प्रॉडक्ट (firebaseauth.admin और firebasenotifications.admin) को ऐक्सेस करने के लिए भूमिकाएं होनी चाहिए.

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

अपनी extension.yaml फ़ाइल में, एक्सटेंशन के सेवा खाते को भूमिका असाइन करने के लिए, नीचे दिए गए फ़ील्ड का इस्तेमाल करें:

भूमिकाओं का दायरा कम करें

एक्सटेंशन को कम से कम अधिकारों के सिद्धांत का पालन करना चाहिए. साथ ही, सिर्फ़ उन रिसॉर्स के ऐक्सेस का अनुरोध करना चाहिए जिनकी उन्हें ज़रूरत है. role.resource फ़ील्ड का इस्तेमाल करके, एक्सटेंशन के ऐक्सेस के दायरे को सीमित किया जा सकता है. उदाहरण के लिए, अगर आपके एक्सटेंशन को Cloud Storage की किसी बकेट में ऑब्जेक्ट लिखने हैं, तो यहां दी गई भूमिका का इस्तेमाल किया जा सकता है:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

इससे एक्सटेंशन, सिर्फ़ उस बकेट को ऐक्सेस कर पाता है जिसकी उसे ज़रूरत होती है. साथ ही, वह उसी प्रोजेक्ट में मौजूद अन्य बकेट को ऐक्सेस नहीं कर पाता.

यह फ़ील्ड प्रोजेक्ट (projects/{project_id}) और स्टोरेज बकेट (projects/{project_id}/buckets/{bucket_id}) के साथ काम करता है.

एक्सटेंशन के लिए इस्तेमाल की जा सकने वाली भूमिकाएं

यहां दी गई टेबल में, Firebase प्रॉडक्ट के साथ इंटरैक्ट करने के लिए, काम करने वाली आईएएम भूमिकाओं की सूची दी गई है. इस टेबल में मौजूद ज़्यादातर भूमिकाएं, Firebase प्रॉडक्ट-लेवल की भूमिकाएं हैं. हालांकि, कुछ भूमिकाओं को सीधे Google Cloud मैनेज करता है. खास तौर पर, Cloud Firestore और Cloud Storage.

Firebase के प्रॉडक्ट

Google Cloud के प्रॉडक्ट

Google Cloud दस्तावेज़ में इन भूमिकाओं के बारे में जानें.