Menyiapkan akses yang sesuai untuk ekstensi

Agar ekstensi dapat melakukan tindakan yang ditentukan, Firebase memberi setiap instance ekstensi yang diinstal akses terbatas ke project dan datanya melalui akun layanan.

Apa yang dimaksud akun layanan?

Akun layanan adalah akun pengguna Google berjenis khusus. Akun layanan mewakili pengguna non-manusia yang dapat membuat panggilan API yang sah ke layanan Google.

Selama penginstalan ekstensi, Firebase membuat akun layanan untuk ekstensi tersebut di project. Setiap instance terinstal dari sebuah ekstensi memiliki akun layanannya sendiri. Jika instance ekstensi di-uninstal, Firebase akan menghapus akun layanan ekstensi tersebut.

Akun layanan yang dibuat untuk ekstensi berformat:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase membatasi akses ekstensi ke project dan datanya dengan menetapkan peran (paket izin) tertentu ke akun layanan ekstensi tersebut. Saat mem-build ekstensi, Anda menentukan peran apa saja yang diperlukan ekstensi untuk beroperasi, lalu Anda mencantumkan peran ini dan alasan ekstensi Anda memerlukannya dalam file extension.yaml (lihat contoh di bagian bawah halaman ini).

Menentukan peran yang diperlukan ekstensi

Saat mem-build ekstensi, Anda menentukan tingkat akses yang diperlukan ekstensi Anda untuk beroperasi.

Selama penginstalan, Firebase CLI akan meminta pengguna menyetujui tingkat akses yang diberikan oleh setiap peran. Jika ekstensi Anda meminta lebih banyak peran daripada yang benar-benar diperlukan, pengguna mungkin cenderung tidak akan menginstalnya.

1. Tentukan apakah ekstensi berinteraksi dengan produk:

   • Jika ekstensi berinteraksi dengan produk, maka Anda harus memberinya akses ke produk tersebut.

     Misalnya, jika ekstensi menulis data ke instance Realtime Database, ekstensi tersebut memerlukan peran Realtime Database (khususnya, firebasedatabase.admin).

   • Jika ekstensi hanya mendeteksi peristiwa pemicu dari sebuah produk, maka ekstensi tidak memerlukan peran yang terkait dengan produk tersebut.

     Misalnya, jika ekstensi terpicu oleh operasi tulis ke sebuah Realtime Database (tetapi tidak menulis apa pun ke database tersebut), maka ekstensi tersebut tidak memerlukan peran Realtime Database.

2. Setelah menentukan dengan produk mana saja ekstensi berinteraksi, Anda harus memutuskan peran yang diperlukan untuk interaksi spesifik tersebut. Beberapa produk menawarkan peran berbeda-beda bergantung tindakan atau serangkaian tindakan yang dilakukan.

   Misalnya, ekstensi Anda berinteraksi dengan bucket Cloud Storage. Peran storage.objectCreator akan memungkinkan ekstensi untuk membuat objek di bucket Cloud Storage, tetapi peran tersebut tidak akan memungkinkan ekstensi untuk melihat, menghapus, atau menimpa objek. Agar ekstensi dapat melakukan tindakan tambahan tersebut, Anda perlu menetapkan peran storage.objectAdmin.

Lihat bagian di akhir halaman ini untuk melihat semua peran yang didukung yang dapat ditetapkan ke akun layanan ekstensi Anda. Untuk mempelajari deskripsi setiap peran dan izin yang diberikan, baca dokumentasi Firebase atau dokumentasi Google Cloud. Anda juga dapat mencari peran di panel IAM & Admin Google Cloud Console.

Cara menetapkan peran ke ekstensi

Cantumkan peran IAM yang diperlukan agar ekstensi dapat beroperasi di bagian roles dalam file extension.yaml.

Berikut contoh ekstensi yang mendeteksi jalur Firebase Realtime Database. Saat dipicu, ekstensi akan memperbarui email akun pengguna (interaksi dengan Firebase Authentication) dan mengirimkan notifikasi (interaksi dengan Firebase Cloud Messaging). Perhatikan hal-hal berikut:

• Meskipun ekstensi terpicu oleh peristiwa Realtime Database, peran firebasedatabase.admin tidak tercantum (mendeteksi tidak dianggap sebagai interaksi).
• Karena ekstensi berinteraksi dengan Authentication dan Cloud Messaging, ekstensi ini memerlukan peran untuk mengakses produk tersebut (firebaseauth.admin dan firebasenotifications.admin secara berurutan).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

Dalam file extension.yaml, gunakan kolom berikut untuk menetapkan peran ke akun layanan ekstensi:

Mengurangi cakupan peran

Ekstensi harus mengikuti prinsip hak istimewa terendah dan hanya meminta akses ke resource yang diperlukan. Anda dapat membatasi cakupan akses ekstensi menggunakan kolom role.resource. Misalnya, jika ekstensi Anda perlu menulis objek ke bucket Cloud Storage, Anda dapat menggunakan peran berikut:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

Hal ini memungkinkan ekstensi hanya mengakses bucket yang diperlukan, dan tidak mengakses bucket lain pada project yang sama.

Kolom ini mendukung project (projects/{project_id}) dan bucket Storage (projects/{project_id}/buckets/{bucket_id}).

Peran yang didukung untuk ekstensi

Tabel berikut mencantumkan peran IAM yang didukung untuk berinteraksi dengan produk Firebase. Sebagian besar peran dalam tabel ini adalah Peran tingkat produk Firebase, tetapi ada sebagian peran yang dikelola langsung oleh Google Cloud (khususnya, Cloud Firestore dan Cloud Storage).

Produk Firebase

Produk Google Cloud

Pelajari peran-peran berikut ini dalam dokumentasi Google Cloud.