Uzantı için uygun erişimi ayarlama

Bir uzantının belirtilen işlemlerini gerçekleştirebilmesi için Firebase, yüklü bir uzantının her örneğine bir hizmet hesabı üzerinden projeye ve verilerine sınırlı erişim izni verir.

Hizmet hesabı nedir?

Hizmet hesabı, özel bir Google kullanıcı hesabı türüdür. Google hizmetlerine yetkili API çağrıları yapabilen, insan harici bir kullanıcıyı temsil eder.

Firebase, bir uzantının yüklenmesi sırasında projede uzantı için bir hizmet hesabı oluşturur. Yüklenen her uzantının kendi hizmet hesabı vardır. Bir uzantı örneği kaldırılırsa Firebase, uzantının hizmet hesabını siler.

Uzantılar için oluşturulan hizmet hesapları şu biçimdedir:

ext-extension-instance-id@project-id.iam.gserviceaccount.com

Firebase, uzantının hizmet hesabına belirli roller (izin paketleri) atayarak uzantının projeye ve verilerine erişimini sınırlandırır. Bir uzantı oluşturduğunuzda, uzantınızın çalışması için hangi rollerin gerektiğini belirlersiniz, ardından bu rolleri ve uzantınızın neden bu rollere ihtiyaç duyduğunu extension.yaml dosyanızda (bu sayfanın alt kısmındaki örneğe bakın) listelersiniz.

Uzantınızın hangi rolleri gerektirdiğini belirleme

Uzantınızı oluştururken, uzantının çalışması için gereken erişim düzeyini belirlersiniz.

Yükleme sırasında Firebase CLI, kullanıcıdan her rolün verdiği erişim düzeyini kabul etmesini ister. Uzantı, gerçekten ihtiyaç duyduğundan daha fazla rol istiyorsa kullanıcıların uzantıyı yükleme olasılığı daha düşük olabilir.

1. Uzantılarınızın bir ürünle etkileşime geçip geçmediğini belirleme:

   • Uzantınız bir ürünle etkileşim kuruyorsa uzantının ilgili ürüne erişmesine izin vermeniz gerekir.

     Örneğin, uzantınız bir Realtime Database örneğine veri yazıyorsa uzantınızın bir Realtime Database rolüne (özellikle firebasedatabase.admin) ihtiyacı vardır.

   • Uzantı yalnızca bir üründen gelen tetikleyici bir etkinliği dinliyorsa uzantınızın bu ürünle ilişkili bir role ihtiyacı yoktur.

     Örneğin, uzantınız bir Realtime Database örneğine yazma işlemi yapıldığında tetikleniyorsa (ancak veritabanına hiçbir şey yazmıyorsa) uzantınızın Realtime Database rolüne ihtiyacı yoktur.

2. Uzantınızın hangi ürünlerle etkileşime girdiğini belirledikten sonra, bu belirli etkileşim için hangi rolün gerekli olduğuna karar vermeniz gerekir. Bazı ürünler, gerçekleştirilen eyleme veya eylem kümesine bağlı olarak farklı roller sunar.

   Örneğin, uzantınızın bir Cloud Storage paketiyle etkileşime girdiğini varsayalım. storage.objectCreator rolü, uzantının Cloud Storage paketinde nesne oluşturmasına izin verir ancak uzantının nesneleri görüntülemesine, silmesine veya üzerine yazmasına izin vermez. Uzantı için bu ek işlemleri gerçekleştirme izni vermek istiyorsanız bunun yerine storage.objectAdmin rolünü atamanız gerekir.

Uzantınızın hizmet hesabına atayabileceğiniz desteklenen tüm rolleri görmek için bu sayfanın alt kısmındaki bölüme bakın. Her bir rolün açıklaması ve verilen izinler hakkında bilgi edinmek için Firebase belgelerini veya Google Cloud belgelerini ziyaret edin. Rolleri Google Cloud Console'un IAM ve Yönetici panelinde de arayabilirsiniz.

Bir uzantıya rol atama

Uzantınızın extension.yaml dosyanızın roles bölümünde çalışması için gereken IAM rollerini listeleyin.

Belirli bir Firebase Realtime Database yolunu dinleyen bir uzantı örneğini aşağıda bulabilirsiniz. Uzantı tetiklendiğinde bir kullanıcı hesabı e-postasını günceller (Firebase Authentication ile etkileşim) ve bildirim gönderir (Firebase Cloud Messaging ile etkileşim). Aşağıdakilere dikkat edin:

• Uzantı bir Realtime Database etkinliğinden tetiklense bile firebasedatabase.admin rolü listelenmez (dinleme etkileşim olarak kabul edilmez).
• Uzantı Authentication ve Cloud Messaging ile etkileşim kurduğundan, uzantı bu ürünlere erişmek için rollere ihtiyaç duyar (sırasıyla firebaseauth.admin ve firebasenotifications.admin).

# extension.yaml
...

# Roles assigned to the extension's service account by Firebase during installation
roles:
  - role: firebaseauth.admin
    reason: Required to update the email address of the user account

  - role: firebasenotifications.admin
    reason: Required to send a notification that the email address has been updated

...

extension.yaml dosyanızda, uzantının hizmet hesabına rol atamak için aşağıdaki alanları kullanın:

Rollerin kapsamını daraltma

Uzantılar, en az ayrıcalık ilkesine uymalı ve yalnızca ihtiyaç duydukları kaynaklara erişim istemelidir. role.resource alanını kullanarak bir uzantının erişim kapsamını sınırlayabilirsiniz. Örneğin, uzantınızın bir Cloud Storage paketine nesne yazması gerekiyorsa aşağıdaki rolü kullanabilirsiniz:

roles:
  - role: storage.objectCreator
    reason: Needed in order to write
    resource: projects/${PROJECT_ID}/buckets/${STORAGE_BUCKET}

Bu sayede uzantı, aynı projedeki diğer paketlere değil, yalnızca ihtiyaç duyduğu pakete erişebilir.

Bu alan, projeleri (projects/{project_id}) ve depolama alanı paketlerini (projects/{project_id}/buckets/{bucket_id}) destekler.

Uzantılar için desteklenen roller

Aşağıdaki tabloda, Firebase ürünleriyle etkileşim için desteklenen IAM rolleri listelenmektedir. Bu tablodaki rollerin çoğu Firebase ürün düzeyinde rollerdir ancak bazıları doğrudan Google Cloud tarafından yönetilir (özellikle Cloud Firestore ve Cloud Storage).

Firebase ürünleri

Google Cloud ürünleri

Bu roller hakkında bilgi edinmek için Google Cloud belgelerine göz atın.